En VPN-innlogging gir ikke lokale administratorrettigheter

Tre ting blandes sammen når noen spør om jobb-VPN gir selskapet administratorrettigheter på en personlig PC: rekkevidde, programvareinstallasjon og enhetsstyring. En VPN-tilkobling gir det første, klientpakken bringer det andre, og bare en egen registrering gir det tredje. Mekanismen bak hver av dem er forskjellig, og bare én av dem innebærer en Windows-legitimasjon.

Ingenting ved en tunnel gjør en domenekonto om til en lokal konto.

En nettverksvei, ikke en legitimasjon

En tunnel gjør selskapets ressurser tilgjengelige og kan gi en vei mot selve klienten, avhengig av ruting, klientisolering og vertsfiltre. Den oppretter ikke en lokal Windows-konto, hever ikke en eksisterende og legger ikke noen til i en lokal gruppe. En tjeneste som lytter på maskinen, beholder sin egen adgangspolicy uansett hvilket nettverk forespørselen kom fra. Derfor trenger eksponerte delinger og endepunkter for fjernstyring fortsatt bevisst beskyttelse.

Tunnelens omfang er et eget spørsmål: en full tunnel bærer mer applikasjonstrafikk enn en delt, og ingen av omfangene gir tilgang til filer på disken.

Klienten er en pakke, ikke et rør

Bedriftsklienter er modulære. En utrulling kan omfatte tunnelen pluss komponenter for tilstand, filtrering eller sikkerhet, hver med sin egen konfigurasjon og sin egen innsamlingsatferd. Å utlede det installerte settet fra produktnavnet eller et tilkoblet ikon er gjetting. Disse komponentene kan følge sin egen modulpraksis i stedet for levetiden til en økt, så å koble fra tunnelen er ikke en universell stoppknapp.

En oversikt over installerte komponenter svarer på et annet spørsmål enn det tilkoblede ikonet svarer på.

Skript kjøres som deg, ikke som root

Klientskripting finnes og er verdt å forstå: dokumenterte tilkoblings- og frakoblingskroker kan kjøre i løpet av en økt, og de forblir deaktivert med mindre profilen og utrullingen aktiverer dem. På Windows kjører de innenfor brukerens eksisterende sikkerhetsbegrensninger, så de kan bare kalle det brukeren har rett til. Å aktivere en krok er reell tilleggsevne; å beskrive den som en automatisk administratorrettighet er ikke riktig.

Forskjellen betyr noe i begge retninger. Det er mer enn et passivt rør, og mindre enn en domeneadministratorkonto.

Levering og oppdateringer er den egentlige tillitsgrensen

Den som kontrollerer pakken og oppdateringskanalen, har mer myndighet enn et nettsted du har gitt et passord, fordi de kan endre hva som kjører på maskinen. Det er en legitim grunn til å gå gjennom hvordan klienten leveres og oppdateres før du installerer den. Det er fortsatt ikke den samme operasjonen som å bli med i et domene eller registrere seg i administrasjon, som forblir separate forhold med sin egen synlige status.

Hvis organisasjonen krever en administrert enhet, bruk dens godkjente arbeidsenhetsordning i stedet for å anta at en personlig klient kan gi den statusen. Hvis maskinen allerede er registrert, angrer ikke frakobling av tunnelen registreringen.

Be om en oversikt over hva som er installert og hvem som kontrollerer oppdateringene. Det spørsmålet har et svar; beroligelsen har ikke.