Prijava na VPN ne daje lokalna administratorska prava

Tri se stvari pomiješaju kad netko pita daje li radni VPN tvrtki administratorska prava na osobnom računalu: dostupnost, instalacija softvera i upravljanje uređajem. VPN veza daje prvo, klijentski paket donosi drugo, a samo zaseban upis pruža treće. Mehanizam iza svakoga je različit i samo jedan uključuje Windows vjerodajnicu.

Ništa u tunelu ne pretvara domenski račun u lokalni.

Mrežni put, a ne vjerodajnica

Tunel čini resurse tvrtke dostupnima i može pružiti put prema samom klijentu, uz uvjet usmjeravanja, izolacije klijenta i filtara hosta. On ne stvara lokalni Windows račun, ne podiže ovlasti postojećega i nikoga ne dodaje u lokalnu grupu. Servis koji sluša na stroju zadržava vlastita pravila prijema bez obzira s koje je mreže zahtjev stigao. Zato izloženi dijeljeni resursi i krajnje točke daljinskog upravljanja i dalje traže namjernu zaštitu.

Opseg tunela je zasebno pitanje: puni tunel prenosi više aplikacijskog prometa od podijeljenoga i nijedan opseg ne daje pristup datotekama na disku.

Klijent je paket, a ne cijev

Poslovni klijenti su modularni. Uvođenje može uključivati tunel plus komponente za stanje, filtriranje ili sigurnost, svaka sa svojom konfiguracijom i svojim ponašanjem prikupljanja. Zaključivati o instaliranom skupu iz naziva proizvoda ili ikone veze je nagađanje. Te komponente mogu slijediti vlastita pravila modula umjesto trajanja sesije, pa isključivanje tunela nije univerzalna tipka za zaustavljanje.

Inventar instaliranih komponenti odgovara na drugo pitanje od onoga na koje odgovara ikona veze.

Skripte se izvršavaju kao vi, ne kao root

Klijentske skripte postoje i vrijedi ih razumjeti: dokumentirane kuke za povezivanje i isključivanje mogu se izvršavati tijekom sesije i ostaju isključene osim ako ih profil i uvođenje omoguće. Na Windowsu rade unutar korisnikovih postojećih sigurnosnih ograničenja, pa mogu pozvati samo ono na što taj korisnik ima pravo. Omogućivanje kuke stvarna je dodatna sposobnost; opisivati je kao automatsko davanje administratorskih prava nije točno.

Razlika je važna u oba smjera. To je više od pasivne cijevi i manje od domenskog administratorskog računa.

Isporuka i ažuriranja prava su granica povjerenja

Tko kontrolira paket i kanal ažuriranja ima veće ovlasti od web stranice kojoj ste dali lozinku, jer može promijeniti što se izvršava na stroju. To je legitiman razlog da pregledate kako se klijent isporučuje i ažurira prije instalacije. To ipak nije isti postupak kao pridruživanje domeni ili upis u upravljanje, koji ostaju odvojeni odnosi s vlastitim vidljivim statusom.

Ako organizacija zahtijeva upravljani uređaj, koristite njezin odobreni aranžman za radni uređaj umjesto pretpostavke da osobni klijent može dati taj status. Ako je stroj već upisan, isključivanje tunela ne poništava upis.

Tražite inventar onoga što je instalirano i tko kontrolira njegova ažuriranja. To pitanje ima odgovor; umirivanje nema.