VPN pieteikšanās nepiešķir lokālas administratora tiesības

Trīs lietas tiek sajauktas, kad kāds jautā, vai darba VPN piešķir uzņēmumam administratora tiesības personīgajā datorā: sasniedzamība, programmatūras instalēšana un ierīces pārvaldība. VPN savienojums nodrošina pirmo, klienta pakotne atnes otro, un tikai atsevišķa reģistrācija nodrošina trešo. Katras mehānisms atšķiras, un tikai viena no tām ietver Windows akreditācijas datus.

Nekas tunelī nepārvērš domēna kontu par lokālu kontu.

Tīkla ceļš, nevis akreditācijas dati

Tunelis padara uzņēmuma resursus sasniedzamus un var nodrošināt ceļu uz pašu klientu, ievērojot maršrutēšanu, klienta izolāciju un resursdatora filtrus. Tas neizveido lokālu Windows kontu, nepaaugstina esošu un nevienu nepievieno lokālai grupai. Pakalpojums, kas klausās datorā, saglabā savu uzņemšanas politiku neatkarīgi no tā, no kura tīkla pieprasījums ienāca. Tāpēc atklātas koplietošanas un attālinātās pārvaldības galapunkti joprojām prasa apzinātu aizsardzību.

Tuneļa apjoms ir atsevišķs jautājums: pilns tunelis pārvadā vairāk lietojumprogrammu trafika nekā sadalīts, un neviens apjoms nepiešķir piekļuvi diskā esošajiem failiem.

Klients ir pakotne, nevis caurule

Uzņēmuma klienti ir modulāri. Izvietojums var ietvert tuneli un stāvokļa, filtrēšanas vai drošības komponentus, katru ar savu konfigurāciju un savu vākšanas uzvedību. Instalētās kopas secināšana no produkta nosaukuma vai pievienotas ikonas ir minējums. Šie komponenti var sekot savai moduļa politikai, nevis sesijas mūžam, tāpēc tuneļa atvienošana nav universāla apturēšanas poga.

Instalēto komponentu saraksts atbild uz citu jautājumu nekā pievienotā ikona.

Skripti darbojas kā jūs, nevis kā root

Klienta skriptošana pastāv, un to ir vērts saprast: dokumentēti savienojuma un atvienošanas āķi var darboties sesijas laikā, un tie paliek atspējoti, ja vien profils un izvietojums tos neiespējo. Windows vidē tie darbojas lietotāja esošo drošības ierobežojumu ietvaros, tāpēc var izsaukt tikai to, uz ko šim lietotājam ir tiesības. Āķa iespējošana ir reāla papildu iespēja; aprakstīt to kā automātisku administratora piešķiršanu nav precīzi.

Atšķirība ir svarīga abos virzienos. Tas ir vairāk nekā pasīva caurule un mazāk nekā domēna administratora konts.

Piegāde un atjauninājumi ir īstā uzticības robeža

Kam ir kontrole pār pakotni un atjaunināšanas kanālu, tam ir lielāka vara nekā vietnei, kurai jūs devāt paroli, jo tas var mainīt, kas darbojas datorā. Tas ir pamatots iemesls pārskatīt, kā klients tiek piegādāts un atjaunināts pirms tā instalēšanas. Tā tomēr nav tā pati darbība kā pievienošanās domēnam vai reģistrācija pārvaldībā, kas paliek atsevišķas attiecības ar savu redzamo statusu.

Ja organizācija pieprasa pārvaldītu ierīci, izmantojiet tās apstiprināto darba ierīces kārtību, nevis pieņemiet, ka personīgs klients var nodrošināt šo statusu. Ja dators jau ir reģistrēts, tuneļa atvienošana reģistrāciju neatsauc.

Lūdziet sarakstu ar to, kas ir instalēts un kas kontrolē tā atjauninājumus. Uz šo jautājumu ir atbilde; uz mierinājumu nav.