Најавата преку VPN не дава локални администраторски права

Три работи се мешаат кога некој прашува дали работниот VPN и дава на компанијата администраторски права на личен компјутер: достапност, инсталација на софтвер и управување со уредот. VPN врската го обезбедува првото, клиентскиот пакет го носи второто, а само одделна регистрација го обезбедува третото. Механизмот зад секое е различен, и само едно од нив вклучува Windows-акредитив.

Ништо во тунелот не претвора доменска сметка во локална.

Мрежна патека, не акредитив

Тунелот ги прави ресурсите на компанијата достапни и може да обезбеди патека кон самиот клиент, во зависност од рутирањето, изолацијата на клиентот и филтрите на домаќинот. Тој не создава локална Windows сметка, не подига постоечка и не додава никого во локална група. Услугата што слуша на машината ја задржува сопствената политика за прием без оглед од која мрежа пристигна барањето. Затоа изложените споделувања и крајните точки за далечинско управување сѐ уште бараат намерна заштита.

Опсегот на тунелот е одделно прашање: целосниот тунел пренесува повеќе апликациски сообраќај од поделениот, и ниту еден опсег не дава пристап до датотеките на дискот.

Клиентот е пакет, а не цевка

Деловните клиенти се модуларни. Распоредувањето може да вклучи тунел плус компоненти за состојба, филтрирање или безбедност, секоја со сопствена конфигурација и сопствено однесување при собирање. Изведувањето на инсталираниот сет од името на производот или од поврзана икона е претпоставка. Тие компоненти може да следат сопствена политика на модулот наместо животниот век на сесијата, така што исклучувањето на тунелот не е универзално копче за запирање.

Инвентарот на инсталираните компоненти одговара на друго прашање од она на кое одговара поврзаната икона.

Скриптите се извршуваат како вие, не како root

Клиентското скриптирање постои и вреди да се разбере: документираните куки за поврзување и исклучување можат да се извршуваат за време на сесијата и остануваат оневозможени освен ако профилот и распоредувањето не ги овозможат. На Windows тие се извршуваат во рамките на постоечките безбедносни ограничувања на корисникот, така што можат да повикаат само она за што тој корисник има право. Овозможувањето кука е вистинска дополнителна способност; да се опише како автоматско доделување администраторски права не е точно.

Разликата е важна во двете насоки. Тоа е повеќе од пасивна цевка и помалку од доменска администраторска сметка.

Испораката и ажурирањата се вистинската граница на доверба

Кој го контролира пакетот и каналот за ажурирања има поголемо овластување од веб-страница на која сте ѝ дале лозинка, бидејќи може да го смени она што се извршува на машината. Тоа е легитимна причина да се разгледа како клиентот се доставува и ажурира пред да се инсталира. Тоа сепак не е истата операција како приклучување кон домен или регистрирање во управувањето, кои остануваат одделни односи со свој видлив статус.

Ако организацијата бара управуван уред, користете го нејзиниот одобрен распоред за работен уред наместо да претпоставувате дека личен клиент може да го обезбеди тој статус. Ако машината е веќе регистрирана, исклучувањето на тунелот не ја поништува регистрацијата.

Побарајте инвентар за тоа што е инсталирано и кој ги контролира неговите ажурирања. Тоа прашање има одговор; смирувањето не.