Een VPN-login geeft geen lokale beheerdersrechten

Drie dingen raken verward wanneer iemand vraagt of de werk-VPN het bedrijf beheerdersrechten op een persoonlijke pc geeft: bereikbaarheid, software-installatie en apparaatbeheer. Een VPN-verbinding levert het eerste, het clientpakket brengt het tweede, en alleen een aparte inschrijving biedt het derde. Het mechanisme erachter verschilt per geval, en slechts één ervan omvat een Windows-referentie.

Niets aan een tunnel maakt van een domeinaccount een lokaal account.

Een netwerkpad, geen referentie

Een tunnel maakt bedrijfsbronnen bereikbaar en kan een pad naar de client zelf bieden, afhankelijk van routing, clientisolatie en hostfilters. Hij maakt geen lokaal Windows-account aan, verhoogt geen bestaand account en voegt niemand toe aan een lokale groep. Een dienst die op de machine luistert, houdt zijn eigen toelatingsbeleid, ongeacht via welk netwerk het verzoek binnenkwam. Daarom hebben blootgestelde shares en eindpunten voor beheer op afstand nog steeds bewuste bescherming nodig.

De omvang van de tunnel is een aparte vraag: een volledige tunnel vervoert meer applicatieverkeer dan een gesplitste, en geen van beide omvangen geeft toegang tot bestanden op de schijf.

De client is een pakket, geen pijp

Zakelijke clients zijn modulair. Een uitrol kan de tunnel bevatten plus componenten voor posture, filtering of beveiliging, elk met een eigen configuratie en eigen verzamelgedrag. Het geïnstalleerde pakket afleiden uit de productnaam of een verbonden pictogram is giswerk. Die componenten kunnen hun eigen modulebeleid volgen in plaats van de levensduur van een sessie, dus de tunnel loskoppelen is geen universele stopknop.

Een inventaris van geïnstalleerde componenten beantwoordt een andere vraag dan het verbonden pictogram.

Scripts draaien als u, niet als root

Clientscripting bestaat en is de moeite van het begrijpen waard: gedocumenteerde verbindings- en verbreekhooks kunnen tijdens een sessie draaien en blijven uitgeschakeld tenzij het profiel en de uitrol ze inschakelen. Op Windows draaien ze binnen de bestaande beveiligingsbeperkingen van de gebruiker, dus ze kunnen alleen aanroepen waar die gebruiker recht op heeft. Een hook inschakelen is echte extra mogelijkheid; het beschrijven als een automatische beheerderstoekenning is niet juist.

Het onderscheid is in beide richtingen belangrijk. Het is meer dan een passieve pijp en minder dan een domeinbeheerdersaccount.

Levering en updates zijn de echte vertrouwensgrens

Wie het pakket en het updatekanaal beheert, heeft meer bevoegdheid dan een website waaraan u een wachtwoord hebt gegeven, omdat hij kan veranderen wat er op de machine draait. Dat is een legitieme reden om te bekijken hoe de client wordt geleverd en bijgewerkt voordat u hem installeert. Het is nog steeds niet dezelfde handeling als lid worden van een domein of zich inschrijven voor beheer, die aparte relaties blijven met hun eigen zichtbare status.

Als de organisatie een beheerd apparaat vereist, gebruik dan de goedgekeurde werkapparaatregeling ervan in plaats van aan te nemen dat een persoonlijke client die status kan leveren. Als de machine al is ingeschreven, maakt het loskoppelen van de tunnel de inschrijving niet ongedaan.

Vraag om een inventaris van wat er is geïnstalleerd en wie de updates ervan beheert. Die vraag heeft een antwoord; de geruststelling niet.