Eine VPN-Anmeldung vergibt keine lokalen Administratorrechte

Drei Dinge werden vermischt, wenn jemand fragt, ob das Arbeits-VPN dem Unternehmen Administratorrechte auf einem privaten PC gibt: Erreichbarkeit, Softwareinstallation und Geräteverwaltung. Eine VPN-Verbindung liefert das Erste, das Client-Paket bringt das Zweite, und nur eine separate Registrierung bietet das Dritte. Der Mechanismus dahinter ist jeweils anders, und nur einer davon beinhaltet ein Windows-Anmeldedatum.

Nichts an einem Tunnel macht aus einem Domänenkonto ein lokales Konto.

Ein Netzwerkpfad, kein Anmeldedatum

Ein Tunnel macht Unternehmensressourcen erreichbar und kann einen Weg zum Client selbst bieten, abhängig von Routing, Client-Isolierung und Host-Filtern. Er legt kein lokales Windows-Konto an, erweitert keine bestehenden Rechte und fügt niemanden einer lokalen Gruppe hinzu. Ein Dienst, der auf dem Rechner lauscht, behält seine eigene Zulassungsrichtlinie, unabhängig davon, aus welchem Netz die Anfrage kam. Deshalb brauchen freigegebene Freigaben und Endpunkte der Fernverwaltung weiterhin bewussten Schutz.

Der Umfang des Tunnels ist eine separate Frage: Ein voller Tunnel trägt mehr Anwendungsverkehr als ein geteilter, und keiner der Umfänge gewährt Zugriff auf Dateien auf der Festplatte.

Der Client ist ein Paket, kein Rohr

Unternehmensclients sind modular. Ein Deployment kann den Tunnel plus Komponenten für Haltung, Filterung oder Sicherheit enthalten, jede mit eigener Konfiguration und eigenem Erfassungsverhalten. Aus dem Produktnamen oder einem verbundenen Symbol auf das installierte Set zu schließen, ist Rätselraten. Diese Komponenten können ihrer eigenen Modulrichtlinie statt der Lebensdauer einer Sitzung folgen, daher ist das Trennen des Tunnels kein universeller Stoppschalter.

Ein Inventar der installierten Komponenten beantwortet eine andere Frage als die des verbundenen Symbols.

Skripte laufen als Sie, nicht als root

Client-Skripting existiert und ist es wert, verstanden zu werden: dokumentierte Verbindungs- und Trennhooks können während einer Sitzung laufen und bleiben deaktiviert, sofern Profil und Deployment sie nicht aktivieren. Unter Windows laufen sie innerhalb der bestehenden Sicherheitsbeschränkungen des Benutzers, können also nur aufrufen, wozu dieser Benutzer berechtigt ist. Einen Hook zu aktivieren ist eine echte zusätzliche Fähigkeit; ihn als automatische Administratorgewährung zu beschreiben, ist nicht korrekt.

Der Unterschied zählt in beide Richtungen. Er ist mehr als ein passives Rohr und weniger als ein Domänenadministratorkonto.

Bereitstellung und Updates sind die eigentliche Vertrauensgrenze

Wer das Paket und den Update-Kanal kontrolliert, hat mehr Befugnis als eine Website, der Sie ein Passwort gegeben haben, denn er kann ändern, was auf dem Rechner läuft. Das ist ein legitimer Grund zu prüfen, wie der Client bereitgestellt und aktualisiert wird, bevor Sie ihn installieren. Es ist dennoch nicht derselbe Vorgang wie der Beitritt zu einer Domäne oder die Registrierung in der Verwaltung, die getrennte Beziehungen mit eigenem sichtbaren Status bleiben.

Wenn die Organisation ein verwaltetes Gerät verlangt, nutzen Sie deren genehmigte Arbeitsgeräte-Regelung, statt anzunehmen, ein privater Client könne diesen Status liefern. Ist der Rechner bereits registriert, macht das Trennen des Tunnels die Registrierung nicht rückgängig.

Fragen Sie nach einem Inventar dessen, was installiert ist und wer seine Updates kontrolliert. Diese Frage hat eine Antwort; die Beruhigung nicht.