Logowanie VPN nie daje uprawnień lokalnego administratora

Trzy rzeczy się mieszają, gdy ktoś pyta, czy służbowy VPN daje firmie uprawnienia administratora na prywatnym komputerze: osiągalność, instalacja oprogramowania i zarządzanie urządzeniem. Połączenie VPN zapewnia pierwszą, pakiet klienta przynosi drugą, a trzecią daje tylko osobna rejestracja. Mechanizm każdej z nich jest inny i tylko jedna wiąże się z poświadczeniami Windows.

Nic w tunelu nie zamienia konta domenowego w lokalne.

Ścieżka sieciowa, nie poświadczenie

Tunel czyni zasoby firmy osiągalnymi i może dać ścieżkę do samego klienta, zależnie od routingu, izolacji klienta i filtrów hosta. Nie tworzy lokalnego konta Windows, nie podnosi uprawnień istniejącego i nikogo nie dodaje do grupy lokalnej. Usługa nasłuchująca na maszynie zachowuje własną politykę wpuszczania niezależnie od tego, z której sieci przyszło żądanie. Dlatego wystawione udziały i punkty końcowe zdalnego zarządzania nadal wymagają świadomej ochrony.

Zasięg tunelu to osobna kwestia: tunel pełny przenosi więcej ruchu aplikacji niż dzielony, a żaden zasięg nie daje dostępu do plików na dysku.

Klient jest pakietem, nie rurą

Klienci korporacyjni są modułowi. Wdrożenie może obejmować tunel oraz komponenty postawy, filtrowania lub bezpieczeństwa, każdy z własną konfiguracją i własnym zachowaniem zbierania. Wnioskowanie o zainstalowanym zestawie z nazwy produktu lub podłączonej ikony to zgadywanie. Te komponenty mogą działać według własnej polityki modułu, a nie czasu trwania sesji, więc rozłączenie tunelu nie jest uniwersalnym przyciskiem stop.

Inwentarz zainstalowanych komponentów odpowiada na inne pytanie niż podłączona ikona.

Skrypty działają jako ty, nie jako root

Skryptowanie po stronie klienta istnieje i warto je zrozumieć: udokumentowane haki połączenia i rozłączenia mogą działać podczas sesji i pozostają wyłączone, dopóki profil i wdrożenie ich nie włączą. W Windows działają w ramach istniejących ograniczeń bezpieczeństwa użytkownika, więc mogą wywołać tylko to, do czego ten użytkownik ma prawo. Włączenie haka to realna dodatkowa możliwość; opisywanie go jako automatycznego nadania uprawnień administratora nie jest ścisłe.

Ta różnica ma znaczenie w obu kierunkach. To więcej niż pasywna rura i mniej niż konto administratora domeny.

Dostarczanie i aktualizacje to prawdziwa granica zaufania

Kto kontroluje pakiet i kanał aktualizacji, ma większe uprawnienia niż strona, której dałeś hasło, bo może zmienić, co działa na maszynie. To uzasadniony powód, by przed instalacją przejrzeć, jak klient jest dostarczany i aktualizowany. To nadal nie ta sama operacja co dołączenie do domeny lub zapisanie się do zarządzania, które pozostają odrębnymi relacjami z własnym widocznym statusem.

Jeśli organizacja wymaga urządzenia zarządzanego, użyj jej zatwierdzonego rozwiązania dla urządzenia służbowego, zamiast zakładać, że prywatny klient zapewni ten status. Jeśli komputer jest już zarejestrowany, rozłączenie tunelu nie cofa rejestracji.

Poproś o inwentarz tego, co jest zainstalowane i kto kontroluje jego aktualizacje. To pytanie ma odpowiedź; uspokojenie nie.