Ei VPN-innlogging gjev ikkje lokale administratorrettar

Tre ting vert blanda saman når nokon spør om arbeids-VPN gjev selskapet administratorrettar på ein personleg PC: rekkjevidd, programvareinstallasjon og einingstyring. Ei VPN-tilkopling gjev det første, klientpakken bringer det andre, og berre ei eiga registrering gjev det tredje. Mekanismen bak kvar av dei er ulik, og berre éin av dei inneber ein Windows-legitimasjon.

Ingenting ved ein tunnel gjer ein domenekonto om til ein lokal konto.

Ein nettverksveg, ikkje ein legitamasjon

Ein tunnel gjer ressursane til selskapet tilgjengelege og kan gje ein veg mot sjølve klienten, avhengig av ruting, klientisolering og vertsfilter. Han opprettar ikkje ein lokal Windows-konto, hevar ikkje ein eksisterande og legg ikkje nokon til i ei lokal gruppe. Ei teneste som lyttar på maskina held på si eiga tilgangspolitikk uansett kva nettverk førespurnaden kom frå. Difor treng eksponerte delingar og endepunkt for fjernstyring framleis medviten vern.

Omfanget til tunnelen er eit eige spørsmål: ein full tunnel ber meir applikasjonstrafikk enn ein delt, og ingen av omfanga gjev tilgang til filer på disken.

Klienten er ein pakke, ikkje eit røyr

Bedriftsklientar er modulære. Ei utrulling kan omfatte tunnelen pluss komponentar for tilstand, filtrering eller tryggleik, kvar med si eiga konfigurering og si eiga innsamlingsåtferd. Å utleie det installerte settet frå produktnamnet eller eit tilkopla ikon er gjetting. Desse komponentane kan følgje sin eigen modulpraksis i staden for levetida til ei økt, så å kople frå tunnelen er ikkje ein universell stoppknapp.

Ei oversikt over installerte komponentar svarar på eit anna spørsmål enn det tilkopla ikonet svarar på.

Skript køyrer som deg, ikkje som root

Klientskripting finst og er verdt å forstå: dokumenterte tilkoplinga- og fråkoplingskrokar kan køyre i løpet av ei økt, og dei vert verande deaktiverte med mindre profilen og utrullinga aktiverer dei. På Windows køyrer dei innanfor dei eksisterande tryggingsavgrensingane til brukaren, så dei kan berre kalle det brukaren har rett til. Å aktivere ein krok er reell tilleggsevne; å skildre han som ei automatisk administratorrett er ikkje riktig.

Forskjellen betyr noko i båe retningar. Det er meir enn eit passivt røyr, og mindre enn ein domeneadministratorkonto.

Levering og oppdateringar er den eigentlege tillitsgrensa

Den som kontrollerer pakken og oppdateringskanalen, har meir myndigheit enn eit nettstad du har gjeve eit passord, fordi dei kan endre kva som køyrer på maskina. Det er ei legitim grunn til å gå gjennom korleis klienten vert levert og oppdatert før du installerer han. Det er framleis ikkje den same operasjonen som å bli med i eit domene eller registrere seg i administrasjon, som vert verande separate forhold med sin eigen synlege status.

Viss organisasjonen krev ei administrert eining, bruk den godkjende ordninga for arbeidseininga i staden for å anta at ein personleg klient kan gje den statusen. Viss maskina allereie er registrert, angrar ikkje fråkopling av tunnelen registreringa.

Be om ei oversikt over kva som er installert og kven som kontrollerer oppdateringane. Det spørsmålet har eit svar; beroliginga har ikkje.