Um início de sessão VPN não atribui direitos de administrador local

Três coisas confundem-se quando alguém pergunta se a VPN do trabalho dá à empresa direitos de administrador num PC pessoal: acessibilidade, instalação de software e gestão do dispositivo. Uma ligação VPN fornece a primeira, o pacote de cliente traz a segunda, e só uma inscrição separada fornece a terceira. O mecanismo por detrás de cada uma é diferente, e só uma envolve uma credencial do Windows.

Nada num túnel transforma uma conta de domínio numa conta local.

Um caminho de rede, não uma credencial

Um túnel torna os recursos da empresa acessíveis e pode fornecer um caminho até ao próprio cliente, sujeito ao encaminhamento, ao isolamento de cliente e aos filtros de anfitrião. Não cria uma conta local do Windows, não eleva uma existente nem adiciona ninguém a um grupo local. Um serviço à escuta na máquina mantém a sua própria política de admissão, independentemente da rede de onde veio o pedido. É por isso que as partilhas expostas e os pontos finais de gestão remota continuam a precisar de proteção deliberada.

O âmbito do túnel é uma questão separada: um túnel completo transporta mais tráfego de aplicações do que um dividido, e nenhum dos âmbitos dá acesso aos ficheiros no disco.

O cliente é um pacote, não um tubo

Os clientes empresariais são modulares. Uma implementação pode incluir o túnel mais componentes de postura, filtragem ou segurança, cada um com a sua própria configuração e o seu próprio comportamento de recolha. Inferir o conjunto instalado a partir do nome do produto ou de um ícone ligado é adivinhar. Esses componentes podem seguir a sua própria política de módulo em vez da vida de uma sessão, pelo que desligar o túnel não é um botão de paragem universal.

Um inventário dos componentes instalados responde a uma pergunta diferente da que o ícone ligado responde.

Os scripts são executados como você, não como root

A criação de scripts de cliente existe e vale a pena compreender: os ganchos documentados de ligação e desligação podem ser executados durante uma sessão, e permanecem desativados a menos que o perfil e a implementação os ativem. No Windows são executados dentro das restrições de segurança existentes do utilizador, pelo que só podem chamar o que esse utilizador tem direito a fazer. Ativar um gancho é uma capacidade adicional real; descrevê-lo como uma concessão automática de administrador não é exato.

A distinção importa em ambos os sentidos. É mais do que um tubo passivo e menos do que uma conta de administrador de domínio.

A entrega e as atualizações são a verdadeira fronteira de confiança

Quem controla o pacote e o canal de atualizações tem mais autoridade do que um site ao qual deu uma palavra-passe, porque pode alterar o que é executado na máquina. É uma razão legítima para rever como o cliente é entregue e atualizado antes de o instalar. Ainda assim, não é a mesma operação que aderir a um domínio ou inscrever-se na gestão, que continuam a ser relações separadas com o seu próprio estado visível.

Se a organização exigir um dispositivo gerido, utilize o seu regime aprovado de dispositivo de trabalho em vez de assumir que um cliente pessoal pode fornecer esse estado. Se a máquina já estiver inscrita, desligar o túnel não anula a inscrição.

Peça um inventário do que está instalado e de quem controla as suas atualizações. Essa pergunta tem resposta; a tranquilização não.