Prihlásenie cez VPN neudeľuje práva miestneho správcu

Tri veci sa zamieňajú, keď sa niekto pýta, či pracovná VPN dáva firme práva správcu na osobnom počítači: dostupnosť, inštalácia softvéru a správa zariadenia. Prvé zabezpečuje pripojenie VPN, druhé prináša klientsky balík a tretie poskytuje len samostatná registrácia. Mechanizmus každého z nich je iný a iba jeden zahŕňa prihlasovací údaj Windows.

Nič na tuneli nepremieňa doménový účet na miestny.

Sieťová cesta, nie prihlasovací údaj

Tunel sprístupňuje firemné zdroje a môže poskytnúť cestu k samotnému klientovi, s výhradou smerovania, izolácie klienta a filtrov hostiteľa. Nevytvára miestny účet Windows, nezvyšuje oprávnenia existujúceho a nikoho nepridáva do miestnej skupiny. Služba načúvajúca na počítači si zachováva vlastné pravidlá prístupu bez ohľadu na to, z ktorej siete požiadavka prišla. Preto vystavené zdieľania a koncové body vzdialenej správy stále vyžadujú zámernú ochranu.

Rozsah tunela je samostatná otázka: plný tunel prenáša viac prevádzky aplikácií ako rozdelený a ani jeden rozsah neposkytuje prístup k súborom na disku.

Klient je balík, nie rúra

Podnikoví klienti sú modulárni. Nasadenie môže zahŕňať tunel plus komponenty stavu, filtrovania alebo zabezpečenia, každý s vlastnou konfiguráciou a vlastným správaním zberu. Odvodzovať nainštalovanú sadu z názvu produktu alebo z ikony pripojenia je hádanie. Tieto komponenty môžu sledovať vlastné zásady modulu namiesto životnosti relácie, takže odpojenie tunela nie je univerzálne tlačidlo zastavenia.

Inventár nainštalovaných komponentov odpovedá na inú otázku ako ikona pripojenia.

Skripty bežia pod vami, nie pod rootom

Klientske skriptovanie existuje a stojí za pochopenie: dokumentované háčiky pripojenia a odpojenia sa môžu spúšťať počas relácie a zostávajú vypnuté, kým ich profil a nasadenie nepovolia. V systéme Windows bežia v rámci existujúcich bezpečnostných obmedzení používateľa, takže môžu volať len to, na čo má tento používateľ právo. Povolenie háčika je skutočná dodatočná možnosť; opisovať ho ako automatické udelenie práv správcu nie je presné.

Rozdiel je dôležitý oboma smermi. Je to viac ako pasívna rúra a menej ako doménový účet správcu.

Doručenie a aktualizácie sú skutočnou hranicou dôvery

Kto ovláda balík a aktualizačný kanál, má väčšiu právomoc ako web, ktorému ste dali heslo, pretože môže zmeniť, čo na počítači beží. Je to legitímny dôvod prejsť si, ako sa klient doručuje a aktualizuje, pred jeho inštaláciou. Stále to nie je tá istá operácia ako pripojenie k doméne alebo registrácia do správy, ktoré zostávajú samostatnými vzťahmi s vlastným viditeľným stavom.

Ak organizácia vyžaduje spravované zariadenie, použite jej schválené usporiadanie pracovného zariadenia namiesto predpokladu, že osobný klient tento stav poskytne. Ak je počítač už zaregistrovaný, odpojenie tunela registráciu nezruší.

Požiadajte o inventár toho, čo je nainštalované a kto ovláda jeho aktualizácie. Na túto otázku existuje odpoveď; na upokojenie nie.