Prijava na VPN ne daje lokalna administratorska prava

Tri se stvari pomešaju kad neko pita daje li radni VPN kompaniji administratorska prava na ličnom računaru: dostupnost, instalacija softvera i upravljanje uređajem. VPN veza daje prvo, klijentski paket donosi drugo, a samo zaseban upis pruža treće. Mehanizam iza svakog je različit i samo jedan uključuje Windows akreditive.

Ništa u tunelu ne pretvara domenski račun u lokalni.

Mrežni put, a ne akreditiv

Tunel čini resurse kompanije dostupnim i može pružiti put prema samom klijentu, uz uslov rutiranja, izolacije klijenta i filtera hosta. On ne stvara lokalni Windows račun, ne podiže ovlašćenja postojećeg i nikoga ne dodaje u lokalnu grupu. Servis koji sluša na mašini zadržava vlastita pravila prijema bez obzira s koje mreže je zahtev stigao. Zato izloženi deljeni resursi i krajnje tačke daljinskog upravljanja i dalje traže namernu zaštitu.

Obim tunela je zasebno pitanje: puni tunel prenosi više aplikacijskog saobraćaja od podeljenog i nijedan obim ne daje pristup datotekama na disku.

Klijent je paket, a ne cev

Poslovni klijenti su modularni. Uvođenje može uključivati tunel plus komponente za stanje, filtriranje ili bezbednost, svaka sa svojom konfiguracijom i svojim ponašanjem prikupljanja. Zaključivati o instaliranom skupu iz naziva proizvoda ili ikone veze je nagađanje. Te komponente mogu slediti vlastita pravila modula umesto trajanja sesije, pa isključivanje tunela nije univerzalno dugme za zaustavljanje.

Inventar instaliranih komponenti odgovara na drugo pitanje od onoga na koje odgovara ikona veze.

Skripte se izvršavaju kao vi, ne kao root

Klijentske skripte postoje i vredi ih razumeti: dokumentovane kuke za povezivanje i isključivanje mogu se izvršavati tokom sesije i ostaju isključene osim ako ih profil i uvođenje omoguće. Na Windowsu rade unutar korisnikovih postojećih bezbednosnih ograničenja, pa mogu pozvati samo ono na šta taj korisnik ima pravo. Omogućavanje kuke stvarna je dodatna sposobnost; opisivati je kao automatsko davanje administratorskih prava nije tačno.

Razlika je važna u oba smera. To je više od pasivne cevi i manje od domenskog administratorskog računa.

Isporuka i ažuriranja prava su granica poverenja

Ko kontroliše paket i kanal ažuriranja ima veće ovlasti od veb stranice kojoj ste dali lozinku, jer može promeniti šta se izvršava na mašini. To je legitiman razlog da pregledate kako se klijent isporučuje i ažurira pre instalacije. To ipak nije isti postupak kao pridruživanje domenu ili upis u upravljanje, koji ostaju odvojeni odnosi s vlastitim vidljivim statusom.

Ako organizacija zahteva upravljani uređaj, koristite njen odobreni aranžman za radni uređaj umesto pretpostavke da lični klijent može dati taj status. Ako je mašina već upisana, isključivanje tunela ne poništava upis.

Tražite inventar onoga što je instalirano i ko kontroliše njegova ažuriranja. To pitanje ima odgovor; umirivanje nema.