VPN-ensaluto ne donas lokajn administrajn rajtojn

Tri aferoj konfuziĝas kiam iu demandas, ĉu la labora VPN donas al la firmao administrajn rajtojn sur persona komputilo: atingeblo, instalado de programaro kaj administrado de aparato. VPN-konekto liveras la unuan, la klienta pako alportas la duan, kaj nur aparta registriĝo provizas la trian. La mekanismo malantaŭ ĉiu estas malsama, kaj nur unu el ili implikas Windows-legitimaĵon.

Nenio ĉe tunelo igas domajnan konton loka.

Retvojo, ne legitimaĵo

Tunelo igas la rimedojn de la firmao atingeblaj kaj povas provizi vojon al la kliento mem, kondiĉe de enkursigo, izolado de kliento kaj gastigaj filtriloj. Ĝi ne kreas lokan Windows-konton, ne altigas ekzistantan kaj ne aldonas iun al loka grupo. Servo aŭskultanta sur la maŝino konservas sian propran akceptan politikon sendepende de tio, el kiu reto la peto alvenis. Tial elmontritaj komunigoj kaj finpunktoj de fora administrado ankoraŭ postulas konscian protekton.

La amplekso de la tunelo estas aparta demando: plena tunelo portas pli da aplikaĵa trafiko ol dividita, kaj neniu amplekso donas aliron al dosieroj sur la disko.

La kliento estas pako, ne tubo

Entreprenaj klientoj estas modulaj. Eniro povas inkluzivi la tunelon plus komponentojn de stato, filtrado aŭ sekureco, ĉiu kun sia propra agordo kaj sia propra kolekta konduto. Dediĉi la instalitan aron el la produkta nomo aŭ el konektita ikono estas konjekto. Tiuj komponentoj povas sekvi sian propran modulan politikon anstataŭ la vivdaŭron de sesio, do malkonekti la tunelon ne estas universala halta butono.

Inventaro de instalitaj komponentoj respondas al alia demando ol tiu, al kiu respondas la konektita ikono.

Skriptoj ruliĝas kiel vi, ne kiel root

Klienta skriptado ekzistas kaj indas kompreni ĝin: dokumentitaj hokoj de konekto kaj malkonekto povas ruliĝi dum sesio, kaj ili restas malŝaltitaj se la profilo kaj la eniro ne ŝaltas ilin. En Windows ili ruliĝas ene de la ekzistantaj sekurecaj limigoj de la uzanto, do ili povas alvoki nur tion, kion tiu uzanto rajtas fari. Ŝalti hokon estas reala aldona kapablo; priskribi ĝin kiel aŭtomatan administran donacon ne estas ĝusta.

La distingo gravas en ambaŭ direktoj. Ĝi estas pli ol pasiva tubo, kaj malpli ol domajna administranto-konto.

Liverado kaj ĝisdatigoj estas la vera fido-limo

Kiu regas la pakon kaj la ĝisdatigan kanalon havas pli da aŭtoritato ol retejo, al kiu vi donis pasvorton, ĉar ĝi povas ŝanĝi tion, kio ruliĝas sur la maŝino. Tio estas legitima kialo revizii, kiel la kliento estas liverata kaj ĝisdatigata antaŭ ol instali ĝin. Ĝi tamen ne estas la sama operacio kiel aliĝi al domajno aŭ registriĝi en administrado, kiuj restas apartaj rilatoj kun propra videbla stato.

Se la organizo postulas administritan aparaton, uzu ĝian aprobitan laboraparan aranĝon anstataŭ supozi, ke persona kliento povas provizi tiun staton. Se la maŝino jam registriĝis, malkonekti la tunelon ne nuligas la registriĝon.

Petu inventaron de tio, kio estas instalita, kaj de tio, kiu regas ĝiajn ĝisdatigojn. Tiu demando havas respondon; la trankviligo ne.