Iniciar sesión en una VPN no concede derechos de administrador local

Tres cosas se confunden cuando alguien pregunta si la VPN del trabajo da a la empresa derechos de administrador en un equipo personal: accesibilidad, instalación de software y gestión del dispositivo. Una conexión VPN aporta la primera, el paquete de cliente trae la segunda, y solo una inscripción separada proporciona la tercera. El mecanismo de cada una es distinto, y solo una implica una credencial de Windows.

Nada de un túnel convierte una cuenta de dominio en una local.

Una ruta de red, no una credencial

Un túnel hace accesibles los recursos de la empresa y puede ofrecer una ruta hacia el propio cliente, sujeto al enrutamiento, el aislamiento de cliente y los filtros de host. No crea una cuenta local de Windows, no eleva una existente ni añade a nadie a un grupo local. Un servicio que escucha en la máquina mantiene su propia política de admisión con independencia de la red de la que llegó la solicitud. Por eso los recursos compartidos expuestos y los puntos de gestión remota siguen necesitando protección deliberada.

El alcance del túnel es una cuestión aparte: un túnel completo transporta más tráfico de aplicaciones que uno dividido, y ninguno de los dos ámbitos da acceso a los archivos del disco.

El cliente es un paquete, no una tubería

Los clientes empresariales son modulares. Un despliegue puede incluir el túnel más componentes de postura, filtrado o seguridad, cada uno con su propia configuración y su propio comportamiento de recopilación. Deducir el conjunto instalado a partir del nombre del producto o de un icono conectado es adivinar. Esos componentes pueden seguir su propia política de módulo en lugar de la vida de una sesión, así que desconectar el túnel no es un botón de parada universal.

Un inventario de los componentes instalados responde a una pregunta distinta de la que responde el icono conectado.

Los scripts se ejecutan como tú, no como root

La creación de scripts de cliente existe y merece entenderse: los enlaces documentados de conexión y desconexión pueden ejecutarse durante una sesión, y permanecen desactivados a menos que el perfil y el despliegue los habiliten. En Windows se ejecutan dentro de las restricciones de seguridad existentes del usuario, así que solo pueden llamar a lo que ese usuario tiene derecho a hacer. Habilitar un enlace es una capacidad adicional real; describirlo como una concesión automática de administrador no es exacto.

La distinción importa en ambas direcciones. Es más que una tubería pasiva y menos que una cuenta de administrador de dominio.

La entrega y las actualizaciones son la verdadera frontera de confianza

Quien controla el paquete y el canal de actualizaciones tiene más autoridad que un sitio web al que le diste una contraseña, porque puede cambiar lo que se ejecuta en la máquina. Es una razón legítima para revisar cómo se entrega y actualiza el cliente antes de instalarlo. Aun así no es la misma operación que unirse a un dominio o inscribirse en la gestión, que siguen siendo relaciones separadas con su propio estado visible.

Si la organización exige un dispositivo gestionado, usa su acuerdo aprobado de dispositivo de trabajo en lugar de suponer que un cliente personal puede aportar ese estado. Si el equipo ya está inscrito, desconectar el túnel no deshace la inscripción.

Pide un inventario de lo que está instalado y de quién controla sus actualizaciones. Esa pregunta tiene respuesta; la tranquilidad no.