VPN-kirjautuminen ei anna paikallisia ylläpitäjän oikeuksia

Kolme asiaa sekoittuvat, kun joku kysyy, antavatko työn VPN ja yritykselle ylläpitäjän oikeudet henkilökohtaisella tietokoneella: tavoitettavuus, ohjelmiston asennus ja laitehallinta. VPN-yhteys tarjoaa ensimmäisen, asiakasohjelmistopaketti tuo toisen, ja vain erillinen rekisteröinti tarjoaa kolmannen. Jokaisen takana oleva mekanismi on erilainen, ja vain yksi niistä sisältää Windows-tunnistetiedon.

Mikään tunnelissa ei muuta toimialueen tiliä paikalliseksi.

Verkkopolku, ei tunnistetieto

Tunneli tekee yrityksen resursseista tavoitettavia ja voi tarjota polun itse asiakasohjelmaan reitityksen, asiakaseristyksen ja isäntäsuodattimien ehdoilla. Se ei luo paikallista Windows-tiliä, ei nosta olemassa olevan oikeuksia eikä lisää ketään paikalliseen ryhmään. Koneella kuunteleva palvelu säilyttää oman hyväksymiskäytäntönsä riippumatta siitä, mistä verkosta pyyntö saapui. Siksi avoimet jaot ja etähallinnan päätepisteet tarvitsevat edelleen tarkoituksellista suojausta.

Tunnelin laajuus on erillinen kysymys: täysi tunneli kuljettaa enemmän sovellusliikennettä kuin jaettu, eikä kumpikaan laajuus anna pääsyä levyllä oleviin tiedostoihin.

Asiakasohjelma on paketti, ei putki

Yritysasiakasohjelmat ovat modulaarisia. Käyttöönotto voi sisältää tunnelin sekä asema-, suodatus- tai turvakomponentteja, joilla kullakin on oma kokoonpanonsa ja oma keräyskäyttäytymisensä. Asennetun joukon päätteleminen tuotenimestä tai yhdistetystä kuvakkeesta on arvailua. Nuo komponentit voivat noudattaa omaa moduulikäytäntöään istunnon eliniän sijaan, joten tunnelin katkaiseminen ei ole yleinen pysäytyspainike.

Asennettujen komponenttien luettelo vastaa eri kysymykseen kuin yhdistetty kuvake.

Skriptit ajetaan sinuna, ei rootina

Asiakasohjelman skriptaus on olemassa ja sen ymmärtäminen kannattaa: dokumentoidut yhdistämis- ja katkaisukoukut voivat ajaa istunnon aikana, ja ne pysyvät poissa käytöstä, elleivät profiili ja käyttöönotto ota niitä käyttöön. Windowsissa ne ajetaan käyttäjän nykyisten turvarajoitusten sisällä, joten ne voivat kutsua vain sitä, mihin käyttäjällä on oikeus. Koukun käyttöönotto on todellinen lisäominaisuus; sen kuvaaminen automaattiseksi ylläpitäjän oikeudeksi ei ole tarkkaa.

Ero on merkityksellinen molempiin suuntiin. Se on enemmän kuin passiivinen putki ja vähemmän kuin toimialueen ylläpitäjätili.

Toimitus ja päivitykset ovat todellinen luottamusraja

Se, joka hallitsee pakettia ja päivityskanavaa, omaa enemmän valtaa kuin verkkosivusto, jolle annoit salasanan, koska se voi muuttaa sitä, mitä koneella ajetaan. Se on perusteltu syy tarkastella, miten asiakasohjelma toimitetaan ja päivitetään ennen sen asentamista. Se ei silti ole sama toimenpide kuin toimialueeseen liittyminen tai hallintaan rekisteröityminen, jotka pysyvät erillisinä suhteina omine näkyvine tiloineen.

Jos organisaatio vaatii hallitun laitteen, käytä sen hyväksyttyä työlaitejärjestelyä sen sijaan, että olettaisit henkilökohtaisen asiakasohjelman voivan tarjota tämän tilan. Jos kone on jo rekisteröity, tunnelin katkaiseminen ei peru rekisteröintiä.

Pyydä luettelo siitä, mitä on asennettu ja kuka hallitsee sen päivityksiä. Siihen kysymykseen on vastaus; rauhoitteluun ei.