Conectarea VPN nu acordă drepturi de administrator local

Trei lucruri se confundă când cineva întreabă dacă VPN-ul de serviciu dă companiei drepturi de administrator pe un PC personal: accesibilitate, instalare de software și gestionarea dispozitivului. O conexiune VPN o oferă pe prima, pachetul client aduce a doua, iar a treia este oferită doar de o înregistrare separată. Mecanismul din spatele fiecăreia este diferit, iar doar unul implică o acreditare Windows.

Nimic dintr-un tunel nu transformă un cont de domeniu într-un cont local.

O cale de rețea, nu o acreditare

Un tunel face resursele companiei accesibile și poate oferi o cale către clientul însuși, în funcție de rutare, izolarea clientului și filtrele de gazdă. Nu creează un cont Windows local, nu ridică unul existent și nu adaugă pe nimeni într-un grup local. Un serviciu care ascultă pe mașină își păstrează propria politică de admitere indiferent din ce rețea a venit cererea. De aceea partajările expuse și punctele finale de administrare la distanță au în continuare nevoie de protecție deliberată.

Amploarea tunelului este o întrebare separată: un tunel complet transportă mai mult trafic de aplicații decât unul divizat, iar niciuna dintre amploare nu oferă acces la fișierele de pe disc.

Clientul este un pachet, nu o conductă

Clienții de întreprindere sunt modulari. O implementare poate include tunelul plus componente de postură, filtrare sau securitate, fiecare cu propria configurație și propriul comportament de colectare. A deduce setul instalat din numele produsului sau dintr-o pictogramă conectată este o presupunere. Acele componente pot urma propria politică de modul în locul duratei de viață a unei sesiuni, așa că deconectarea tunelului nu este un buton universal de oprire.

Un inventar al componentelor instalate răspunde la o altă întrebare decât cea la care răspunde pictograma conectată.

Scripturile rulează ca tine, nu ca root

Scriptarea pe partea de client există și merită înțeleasă: cârlige documentate de conectare și deconectare pot rula în timpul unei sesiuni și rămân dezactivate dacă profilul și implementarea nu le activează. În Windows rulează în limitele restricțiilor de securitate existente ale utilizatorului, deci pot apela doar ceea ce acel utilizator are dreptul să facă. Activarea unui cârlig este o capacitate suplimentară reală; a o descrie drept acordare automată de administrator nu este exact.

Distincția contează în ambele direcții. Este mai mult decât o conductă pasivă și mai puțin decât un cont de administrator de domeniu.

Livrarea și actualizările sunt adevărata frontieră de încredere

Cine controlează pachetul și canalul de actualizare are mai multă autoritate decât un site căruia i-ai dat o parolă, pentru că poate schimba ce rulează pe mașină. Este un motiv legitim să verifici cum este livrat și actualizat clientul înainte de a-l instala. Totuși nu este aceeași operațiune ca alăturarea la un domeniu sau înregistrarea în administrare, care rămân relații separate cu propriul statut vizibil.

Dacă organizația cere un dispozitiv administrat, folosește aranjamentul aprobat pentru dispozitivul de lucru, în loc să presupui că un client personal poate oferi acel statut. Dacă mașina este deja înregistrată, deconectarea tunelului nu anulează înregistrarea.

Cere un inventar al ceea ce este instalat și al cine îi controlează actualizările. Această întrebare are răspuns; liniștirea nu.