Log masuk VPN tidak memberikan hak admin tempatan

Tiga perkara bercampur apabila seseorang bertanya sama ada VPN kerja memberi syarikat hak admin pada PC peribadi: kebolehsampaian, pemasangan perisian dan pengurusan peranti. Sambungan VPN menyediakan yang pertama, pakej klien membawa yang kedua, dan hanya pendaftaran berasingan menyediakan yang ketiga. Mekanisme di sebalik setiap satu berbeza, dan hanya satu daripadanya melibatkan kelayakan Windows.

Tiada apa-apa pada terowong menukar akaun domain menjadi akaun tempatan.

Laluan rangkaian, bukan kelayakan

Terowong menjadikan sumber syarikat boleh dicapai dan mungkin menyediakan laluan ke klien itu sendiri, bergantung pada penghalaan, pengasingan klien dan penapis hos. Ia tidak mencipta akaun Windows tempatan, tidak menaikkan akaun sedia ada dan tidak menambah sesiapa ke kumpulan tempatan. Perkhidmatan yang mendengar pada mesin mengekalkan dasar kemasukan sendiri tanpa mengira rangkaian mana permintaan itu datang. Itulah sebabnya perkongsian terdedah dan titik akhir pengurusan jauh masih memerlukan perlindungan yang disengajakan.

Skop terowong ialah soalan berasingan: terowong penuh membawa lebih banyak trafik aplikasi daripada yang berpecah, dan tiada skop yang memberi akses kepada fail pada cakera.

Klien ialah pakej, bukan paip

Klien perusahaan adalah modular. Penggunaan boleh merangkumi terowong serta komponen postur, penapisan atau keselamatan, masing-masing dengan konfigurasi dan tingkah laku pengumpulannya sendiri. Menyimpulkan set yang dipasang daripada nama produk atau ikon bersambung ialah tekaan. Komponen itu mungkin mengikut dasar modulnya sendiri dan bukan jangka hayat sesi, jadi memutuskan terowong bukan butang henti sejagat.

Inventori komponen yang dipasang menjawab soalan yang berbeza daripada yang dijawab ikon bersambung.

Skrip berjalan sebagai anda, bukan sebagai root

Penskripan klien wujud dan wajar difahami: cangkuk sambungan dan pemutusan yang didokumenkan boleh berjalan semasa sesi, dan ia kekal dilumpuhkan melainkan profil dan penggunaan mengaktifkannya. Pada Windows ia berjalan dalam had keselamatan sedia ada pengguna, jadi ia hanya boleh memanggil apa yang pengguna itu berhak lakukan. Mengaktifkan cangkuk ialah keupayaan tambahan sebenar; menggambarkannya sebagai pemberian admin automatik tidak tepat.

Perbezaan itu penting dalam kedua-dua arah. Ia lebih daripada paip pasif, dan kurang daripada akaun admin domain.

Penghantaran dan kemas kini ialah sempadan kepercayaan sebenar

Sesiapa yang mengawal pakej dan saluran kemas kini mempunyai kuasa lebih besar daripada laman web yang anda beri kata laluan, kerana mereka boleh mengubah apa yang berjalan pada mesin. Itu sebab yang sah untuk menyemak bagaimana klien dihantar dan dikemas kini sebelum memasangnya. Ia masih bukan operasi yang sama seperti menyertai domain atau mendaftar dalam pengurusan, yang kekal sebagai hubungan berasingan dengan statusnya sendiri yang kelihatan.

Jika organisasi memerlukan peranti terurus, gunakan susunan peranti kerja yang diluluskannya dan bukannya menganggap klien peribadi boleh menyediakan status itu. Jika mesin sudah didaftarkan, memutuskan terowong tidak membatalkan pendaftaran.

Minta inventori tentang apa yang dipasang dan siapa yang mengawal kemas kininya. Soalan itu ada jawapan; ketenangannya tidak.