Η σύνδεση VPN δεν παρέχει δικαιώματα τοπικού διαχειριστή

Τρία πράγματα συγχέονται όταν κάποιος ρωτά αν το VPN της εργασίας δίνει στην εταιρεία δικαιώματα διαχειριστή σε προσωπικό υπολογιστή: προσβασιμότητα, εγκατάσταση λογισμικού και διαχείριση συσκευής. Η σύνδεση VPN παρέχει το πρώτο, το πακέτο πελάτη φέρνει το δεύτερο, και μόνο μια ξεχωριστή εγγραφή παρέχει το τρίτο. Ο μηχανισμός πίσω από καθένα είναι διαφορετικός και μόνο ένας από αυτούς περιλαμβάνει διαπιστευτήριο Windows.

Τίποτα σε μια σήραγγα δεν μετατρέπει λογαριασμό τομέα σε τοπικό.

Μια διαδρομή δικτύου, όχι διαπιστευτήριο

Μια σήραγγα κάνει τους πόρους της εταιρείας προσβάσιμους και μπορεί να προσφέρει διαδρομή προς τον ίδιο τον πελάτη, υπό την επιφύλαξη δρομολόγησης, απομόνωσης πελάτη και φίλτρων κεντρικού υπολογιστή. Δεν δημιουργεί τοπικό λογαριασμό Windows, δεν αναβαθμίζει υπάρχοντα και δεν προσθέτει κανέναν σε τοπική ομάδα. Μια υπηρεσία που ακούει στον υπολογιστή διατηρεί τη δική της πολιτική εισδοχής ανεξάρτητα από το δίκτυο από το οποίο έφτασε το αίτημα. Γι’ αυτό οι εκτεθειμένοι κοινόχρηστοι πόροι και τα τελικά σημεία απομακρυσμένης διαχείρισης χρειάζονται ακόμη σκόπιμη προστασία.

Το εύρος της σήραγγας είναι ξεχωριστό ζήτημα: μια πλήρης σήραγγα μεταφέρει περισσότερη κίνηση εφαρμογών από μια διαχωρισμένη, και κανένα εύρος δεν παρέχει πρόσβαση σε αρχεία του δίσκου.

Ο πελάτης είναι πακέτο, όχι σωλήνας

Οι εταιρικοί πελάτες είναι αρθρωτοί. Μια ανάπτυξη μπορεί να περιλαμβάνει τη σήραγγα συν στοιχεία κατάστασης, φιλτραρίσματος ή ασφάλειας, καθένα με τη δική του διαμόρφωση και τη δική του συμπεριφορά συλλογής. Το να συμπεράνει κανείς το εγκατεστημένο σύνολο από το όνομα του προϊόντος ή από ένα συνδεδεμένο εικονίδιο είναι εικασία. Αυτά τα στοιχεία μπορεί να ακολουθούν τη δική τους πολιτική μονάδας αντί για τη διάρκεια μιας συνεδρίας, οπότε η αποσύνδεση της σήραγγας δεν είναι καθολικό κουμπί διακοπής.

Μια απογραφή των εγκατεστημένων στοιχείων απαντά σε διαφορετικό ερώτημα από αυτό που απαντά το συνδεδεμένο εικονίδιο.

Τα σκριπτ εκτελούνται ως εσείς, όχι ως root

Το σκριπτάρισμα πελάτη υπάρχει και αξίζει να το κατανοήσουμε: τεκμηριωμένα άγκιστρα σύνδεσης και αποσύνδεσης μπορούν να εκτελούνται κατά τη διάρκεια μιας συνεδρίας και παραμένουν απενεργοποιημένα εκτός αν το προφίλ και η ανάπτυξη τα ενεργοποιήσουν. Στα Windows εκτελούνται εντός των υφιστάμενων περιορισμών ασφαλείας του χρήστη, άρα μπορούν να καλέσουν μόνο ό,τι δικαιούται αυτός ο χρήστης. Η ενεργοποίηση ενός άγκιστρου είναι πραγματική πρόσθετη δυνατότητα· το να την περιγράφει κανείς ως αυτόματη παραχώρηση διαχειριστή δεν είναι ακριβές.

Η διάκριση μετράει και προς τις δύο κατευθύνσεις. Είναι περισσότερο από έναν παθητικό σωλήνα και λιγότερο από λογαριασμό διαχειριστή τομέα.

Η παράδοση και οι ενημερώσεις είναι το πραγματικό όριο εμπιστοσύνης

Όποιος ελέγχει το πακέτο και το κανάλι ενημερώσεων έχει μεγαλύτερη εξουσία από έναν ιστότοπο στον οποίο δώσατε κωδικό, επειδή μπορεί να αλλάξει τι εκτελείται στον υπολογιστή. Αυτός είναι νόμιμος λόγος να εξετάσετε πώς ο πελάτης παραδίδεται και ενημερώνεται πριν τον εγκαταστήσετε. Δεν είναι όμως η ίδια πράξη με τη σύνδεση σε τομέα ή την εγγραφή στη διαχείριση, που παραμένουν ξεχωριστές σχέσεις με τη δική τους ορατή κατάσταση.

Αν ο οργανισμός απαιτεί διαχειριζόμενη συσκευή, χρησιμοποιήστε τη δική του εγκεκριμένη ρύθμιση εργασιακής συσκευής αντί να υποθέσετε ότι ένας προσωπικός πελάτης μπορεί να παρέχει αυτή την κατάσταση. Αν ο υπολογιστής είναι ήδη εγγεγραμμένος, η αποσύνδεση της σήραγγας δεν ακυρώνει την εγγραφή.

Ζητήστε απογραφή του τι είναι εγκατεστημένο και ποιος ελέγχει τις ενημερώσεις του. Αυτό το ερώτημα έχει απάντηση· η καθησύχαση δεν έχει.