Вход через VPN не даёт прав локального администратора

Три вещи смешиваются, когда кто-то спрашивает, даёт ли рабочий VPN компании права администратора на личном компьютере: доступность, установка программ и управление устройством. Подключение VPN даёт первое, клиентский пакет приносит второе, а третье обеспечивает только отдельная регистрация. Механизм каждого из них различен, и лишь один из них связан с учётными данными Windows.

Ничто в туннеле не превращает доменную учётную запись в локальную.

Сетевой путь, а не учётные данные

Туннель делает ресурсы компании доступными и может дать путь к самому клиенту с учётом маршрутизации, изоляции клиента и фильтров хоста. Он не создаёт локальную учётную запись Windows, не повышает права существующей и никого не добавляет в локальную группу. Служба, прослушивающая машину, сохраняет собственную политику допуска независимо от того, из какой сети пришёл запрос. Поэтому открытые общие ресурсы и конечные точки удалённого управления по-прежнему требуют намеренной защиты.

Область действия туннеля — отдельный вопрос: полный туннель передаёт больше трафика приложений, чем разделённый, и ни одна из областей не даёт доступа к файлам на диске.

Клиент — это пакет, а не труба

Корпоративные клиенты модульны. Развёртывание может включать туннель плюс компоненты состояния, фильтрации или безопасности, каждый со своей конфигурацией и своим поведением сбора. Выводить установленный набор из названия продукта или значка подключения — догадка. Эти компоненты могут следовать собственной политике модуля, а не времени жизни сеанса, поэтому отключение туннеля не является универсальной кнопкой остановки.

Инвентаризация установленных компонентов отвечает на другой вопрос, чем значок подключения.

Скрипты выполняются от вашего имени, а не как root

Клиентские скрипты существуют, и их стоит понимать: документированные перехватчики подключения и отключения могут выполняться во время сеанса и остаются отключёнными, если профиль и развёртывание их не включают. В Windows они работают в рамках существующих ограничений безопасности пользователя, поэтому могут вызывать только то, на что этот пользователь имеет право. Включение перехватчика — реальная дополнительная возможность; описывать её как автоматическое предоставление прав администратора неверно.

Различие важно в обе стороны. Это больше, чем пассивная труба, и меньше, чем доменная учётная запись администратора.

Доставка и обновления — настоящая граница доверия

Тот, кто контролирует пакет и канал обновлений, обладает большими полномочиями, чем сайт, которому вы дали пароль, потому что может изменить то, что выполняется на машине. Это законная причина проверить, как клиент доставляется и обновляется, прежде чем его устанавливать. Это всё же не та же операция, что присоединение к домену или регистрация в управлении, которые остаются отдельными отношениями со своим видимым статусом.

Если организации требуется управляемое устройство, используйте её утверждённый порядок для рабочего устройства, а не предполагайте, что личный клиент может обеспечить такой статус. Если машина уже зарегистрирована, отключение туннеля не отменяет регистрацию.

Запросите инвентаризацию того, что установлено и кто управляет его обновлениями. У этого вопроса есть ответ; у успокоения — нет.