Prijava v VPN ne podeljuje lokalnih skrbniških pravic

Tri stvari se zamešajo, ko se nekdo vpraša, ali delovni VPN podjetju daje skrbniške pravice na osebnem računalniku: dosegljivost, namestitev programske opreme in upravljanje naprave. Povezava VPN zagotavlja prvo, odjemalski paket prinese drugo, tretje pa zagotovi le ločena registracija. Mehanizem za vsako je drugačen in le eden vključuje poverilnico Windows.

Nič na tunelu ne spremeni domenski račun v krajevnega.

Omrežna pot, ne poverilnica

Tunel naredi vire podjetja dosegljive in lahko ponudi pot do samega odjemalca, odvisno od usmerjanja, izolacije odjemalca in filtrov gostitelja. Ne ustvari krajevnega računa Windows, ne poviša obstoječega in nikogar ne doda v krajevno skupino. Storitev, ki posluša na stroju, ohrani svojo politiko sprejemanja ne glede na to, iz katerega omrežja je prišla zahteva. Zato izpostavljene skupne rabe in končne točke za oddaljeno upravljanje še vedno potrebujejo premišljeno zaščito.

Obseg tunela je ločeno vprašanje: polni tunel prenaša več prometa aplikacij kot razdeljeni in noben obseg ne omogoča dostopa do datotek na disku.

Odjemalec je paket, ne cev

Podjetniški odjemalci so modularni. Namestitev lahko vključuje tunel ter komponente za stanje, filtriranje ali varnost, vsaka s svojo konfiguracijo in svojim vedenjem zbiranja. Sklepati o nameščenem naboru iz imena izdelka ali povezane ikone je ugibanje. Te komponente lahko sledijo lastni politiki modula namesto življenjski dobi seje, zato odklop tunela ni univerzalni gumb za zaustavitev.

Popis nameščenih komponent odgovarja na drugo vprašanje kot povezana ikona.

Skripti tečejo kot vi, ne kot root

Skriptiranje odjemalca obstaja in je vredno razumevanja: dokumentirani kavlji za povezavo in prekinitev se lahko izvajajo med sejo in ostanejo onemogočeni, razen če jih profil in namestitev omogočita. V sistemu Windows tečejo v okviru obstoječih varnostnih omejitev uporabnika, zato lahko kličejo le tisto, do česar je ta uporabnik upravičen. Omogočanje kavlja je resnična dodatna zmožnost; opisovati ga kot samodejno podelitev skrbniških pravic ni pravilno.

Razlika je pomembna v obe smeri. To je več kot pasivna cev in manj kot domenski skrbniški račun.

Dostava in posodobitve so resnična meja zaupanja

Kdor nadzoruje paket in kanal posodobitev, ima več pooblastil kot spletno mesto, ki ste mu dali geslo, saj lahko spremeni, kaj teče na stroju. To je legitimni razlog za pregled, kako se odjemalec dostavlja in posodablja pred namestitvijo. Vendar to ni ista operacija kot pridružitev domeni ali registracija v upravljanje, ki ostajata ločeni razmerji z lastnim vidnim stanjem.

Če organizacija zahteva upravljano napravo, uporabite njeno odobreno ureditev delovne naprave, namesto da predpostavljate, da lahko osebni odjemalec zagotovi ta status. Če je stroj že registriran, odklop tunela registracije ne razveljavi.

Zahtevajte popis tega, kaj je nameščeno in kdo nadzoruje njegove posodobitve. To vprašanje ima odgovor; pomiritev ne.