התחברות ל-VPN אינה מעניקה הרשאות מנהל מקומיות

שלושה דברים מתבלבלים כמישהו שואל אם ה-VPN של העבודה נותן לחברה הרשאות מנהל במחשב אישי: נגישות, התקנת תוכנה וניהול מכשיר. חיבור VPN מספק את הראשון, חבילת הלקוח מביאה את השני, ורק רישום נפרד מספק את השלישי. המנגנון שמאחורי כל אחד שונה, ורק אחד מהם כולל אישור Windows.

שום דבר במנהרה לא הופך חשבון תחום לחשבון מקומי.

נתיב רשת, לא אישור

מנהרה הופכת משאבי חברה לנגישים ועשויה לספק נתיב אל הלקוח עצמו, בכפוף לניתוב, לבידוד לקוח ולמסנני מארח. היא אינה יוצרת חשבון Windows מקומי, אינה מרימה חשבון קיים ואינה מוסיפה איש לקבוצה מקומית. שירות שמאזין במחשב שומר על מדיניות הקבלה שלו ללא תלות ברשת שממנה הגיעה הבקשה. לכן שיתופים חשופים ונקודות ניהול מרחוק עדיין זקוקים להגנה מכוונת.

היקף המנהרה הוא שאלה נפרדת: מנהרה מלאה נושאת יותר תעבורת יישומים ממנהרה מפוצלת, ושני ההיקפים אינם נותנים גישה לקבצים שעל הדיסק.

הלקוח הוא חבילה, לא צינור

לקוחות ארגוניים הם מודולריים. פריסה יכולה לכלול את המנהרה בתוספת רכיבי מצב, סינון או אבטחה, לכל אחד תצורה משלו והתנהגות איסוף משלו. הסקת הסט המותקן משם המוצר או מסמל מחובר היא ניחוש. רכיבים אלה עשויים לפעול לפי מדיניות המודול שלהם ולא לפי חיי הפעלה, ולכן ניתוק המנהרה אינו כפתור עצירה אוניברסלי.

מלאי של רכיבים מותקנים עונה על שאלה שונה מזו שהסמל המחובר עונה עליה.

סקריפטים רצים כמוך, לא כ-root

סקריפטינג בצד הלקוח קיים וכדאי להבין אותו: ווי חיבור וניתוק מתועדים יכולים לרוץ במהלך הפעלה, והם נשארים מושבתים אלא אם הפרופיל והפריסה מפעילים אותם. ב-Windows הם רצים בתוך מגבלות האבטחה הקיימות של המשתמש, ולכן יכולים לקרוא רק למה שמשתמש זה זכאי לו. הפעלת וו היא יכולת נוספת אמיתית; לתאר אותה כהענקת מנהל אוטומטית אינו מדויק.

ההבחנה חשובה בשני הכיוונים. זה יותר מצינור פסיבי, וזה פחות מחשבון מנהל תחום.

מסירה ועדכונים הם גבול האמון האמיתי

מי ששולט בחבילה ובערוץ העדכונים בעל סמכות רבה יותר מאתר שקיבלת ממנו סיסמה, מפני שהוא יכול לשנות מה רץ במחשב. זו סיבה לגיטימית לבחון כיצד הלקוח נמסר ומתעדכן לפני התקנתו. זו עדיין לא אותה פעולה כמו הצטרפות לתחום או רישום לניהול, שנשארים קשרים נפרדים עם סטטוס גלוי משלהם.

אם הארגון דורש מכשיר מנוהל, השתמש בהסדר מכשיר העבודה המאושר שלו במקום להניח שלקוח אישי יכול לספק סטטוס כזה. אם המחשב כבר רשום, ניתוק המנהרה אינו מבטל את הרישום.

בקש מלאי של מה שמותקן ומי שולט בעדכונים שלו. לשאלה הזאת יש תשובה; להרגעה אין.