VPN-i sisselogimine ei anna kohalikke administraatoriõigusi

Kolm asja aetakse segamini, kui keegi küsib, kas töö-VPN annab ettevõttele isiklikus arvutis administraatoriõigused: kättesaadavus, tarkvara paigaldamine ja seadmehaldus. VPN-ühendus annab esimese, kliendipakett toob teise ja ainult eraldi registreerimine pakub kolmanda. Igaühe taga olev mehhanism on erinev ja ainult üks neist hõlmab Windowsi mandaati.

Miski tunnelis ei muuda domeenikontot kohalikuks kontoks.

Võrgutee, mitte mandaat

Tunnel muudab ettevõtte ressursid kättesaadavaks ja võib pakkuda tee kliendi enda juurde, sõltuvalt marsruutimisest, kliendi isolatsioonist ja hostifiltritest. See ei loo kohalikku Windowsi kontot, ei tõsta olemasoleva õigusi ega lisa kedagi kohalikku gruppi. Masinas kuulav teenus säilitab oma vastuvõtupoliitika sõltumata sellest, millisest võrgust päring saabus. Seetõttu vajavad avatud jagamised ja kaughalduse lõpp-punktid endiselt teadlikku kaitset.

Tunneli ulatus on eraldi küsimus: täistunnel kannab rohkem rakendusliiklust kui jaotatud tunnel ja kumbki ulatus ei anna juurdepääsu kettal olevatele failidele.

Klient on pakett, mitte toru

Ettevõtte kliendid on modulaarsed. Juurutus võib sisaldada tunnelit pluss seisu-, filtreerimis- või turbekomponente, igaüks oma konfiguratsiooni ja oma kogumiskäitumisega. Paigaldatud komplekti tuletamine tootenimest või ühendatud ikoonist on oletus. Need komponendid võivad järgida oma moodulipoliitikat, mitte seansi eluiga, seega tunneli katkestamine ei ole universaalne stoppnupp.

Paigaldatud komponentide loend vastab teisele küsimusele kui ühendatud ikoon.

Skriptid jooksevad sinuna, mitte rootina

Kliendiskriptimine on olemas ja seda tasub mõista: dokumenteeritud ühendamise ja katkestamise konksud võivad seansi ajal joosta ja jäävad välja lülitatuks, kui profiil ja juurutus neid ei luba. Windowsis jooksevad need kasutaja olemasolevate turbepiirangute sees, seega saavad kutsuda ainult seda, milleks see kasutaja on õigustatud. Konksu lubamine on tõeline lisavõimekus; selle kirjeldamine automaatse administraatoriõiguse andmisena ei ole täpne.

Erinevus loeb mõlemas suunas. See on rohkem kui passiivne toru ja vähem kui domeeniadministraatori konto.

Tarnimine ja värskendused on tegelik usalduspiir

See, kes kontrollib paketti ja värskenduskanalit, omab suuremat volitust kui veebisait, millele sa parooli andsid, sest ta saab muuta, mis masinas jookseb. See on õigustatud põhjus vaadata üle, kuidas klienti tarnitakse ja värskendatakse, enne selle paigaldamist. See ei ole siiski sama toiming kui domeeniga liitumine või haldusesse registreerimine, mis jäävad eraldi suheteks oma nähtava staatusega.

Kui organisatsioon nõuab hallatavat seadet, kasuta selle kinnitatud tööseadme korda, mitte ära eelda, et isiklik klient saab selle staatuse anda. Kui masin on juba registreeritud, ei tühista tunneli katkestamine registreerimist.

Küsi loendit sellest, mis on paigaldatud, ja sellest, kes kontrollib selle värskendusi. Sellel küsimusel on vastus; rahustusel ei ole.