Un inicio de sesión VPN non concede dereitos de administrador local

Tres cousas confúndense cando alguén pregunta se a VPN do traballo dá á empresa dereitos de administrador nun equipo persoal: accesibilidade, instalación de software e xestión do dispositivo. Unha conexión VPN fornece a primeira, o paquete de cliente trae a segunda, e só unha inscrición separada fornece a terceira. O mecanismo de cada unha é distinto, e só unha implica unha credencial de Windows.

Nada dun túnel converte unha conta de dominio nunha local.

Unha ruta de rede, non unha credencial

Un túnel fai accesibles os recursos da empresa e pode ofrecer unha ruta cara ao propio cliente, suxeito ao encamiñamento, ao illamento de cliente e aos filtros de host. Non crea unha conta local de Windows, non eleva unha existente nin engade ninguén a un grupo local. Un servizo que escoita na máquina mantén a súa propia política de admisión independentemente da rede pola que chegou a solicitude. Por iso os recursos compartidos expostos e os puntos de xestión remota seguen necesitando protección deliberada.

O alcance do túnel é unha cuestión aparte: un túnel completo transporta máis tráfico de aplicacións ca un dividido, e ningún dos dous ámbitos dá acceso aos ficheiros do disco.

O cliente é un paquete, non unha tubaxe

Os clientes empresariais son modulares. Un despregamento pode incluír o túnel máis compoñentes de postura, filtrado ou seguridade, cada un coa súa propia configuración e o seu propio comportamento de recollida. Inferir o conxunto instalado a partir do nome do produto ou dunha icona conectada é adiviñar. Eses compoñentes poden seguir a súa propia política de módulo en lugar da vida dunha sesión, así que desconectar o túnel non é un botón de parada universal.

Un inventario dos compoñentes instalados responde a unha pregunta distinta da que responde a icona conectada.

Os scripts execútanse como ti, non como root

A creación de scripts de cliente existe e paga a pena entendela: os ganchos documentados de conexión e desconexión poden executarse durante unha sesión, e permanecen desactivados a non ser que o perfil e o despregamento os habiliten. En Windows execútanse dentro das restricións de seguridade existentes do usuario, así que só poden chamar o que ese usuario ten dereito a facer. Habilitar un gancho é unha capacidade adicional real; describilo como unha concesión automática de administrador non é exacto.

A distinción importa en ambas as direccións. É máis ca unha tubaxe pasiva, e menos ca unha conta de administrador de dominio.

A entrega e as actualizacións son a verdadeira fronteira de confianza

Quen controla o paquete e a canle de actualizacións ten máis autoridade ca un sitio web ao que lle deches un contrasinal, porque pode cambiar o que se executa na máquina. É unha razón lexítima para revisar como se entrega e actualiza o cliente antes de instalalo. Aínda así non é a mesma operación ca unirse a un dominio ou inscribirse na xestión, que seguen sendo relacións separadas co seu propio estado visible.

Se a organización require un dispositivo xestionado, usa o seu acordo aprobado de dispositivo de traballo en lugar de supoñer que un cliente persoal pode fornecer ese estado. Se a máquina xa está inscrita, desconectar o túnel non desfai a inscrición.

Pide un inventario do que está instalado e de quen controla as súas actualizacións. Esa pregunta ten resposta; a tranquilidade non.