Hyrja në VPN nuk jep të drejta administratori lokal

Tri gjëra ngatërrohen kur dikush pyet nëse VPN-i i punës i jep kompanisë të drejta administratori në një PC personal: arritshmëria, instalimi i softuerit dhe menaxhimi i pajisjes. Një lidhje VPN ofron të parën, paketa e klientit sjell të dytën, dhe vetëm një regjistrim i veçantë ofron të tretën. Mekanizmi pas secilës është i ndryshëm, dhe vetëm njëri prej tyre përfshin një kredencial Windows.

Asgjë në një tunel nuk e kthen një llogari domeni në llogari lokale.

Një rrugë rrjeti, jo një kredencial

Një tunel i bën burimet e kompanisë të arritshme dhe mund të ofrojë një rrugë drejt vetë klientit, në varësi të rrugëtimit, izolimit të klientit dhe filtrave të hostit. Ai nuk krijon një llogari lokale Windows, nuk ngre një ekzistuese dhe nuk shton askënd në një grup lokal. Një shërbim që dëgjon në makinë mban politikën e vet të pranimit pavarësisht se nga cili rrjet erdhi kërkesa. Kjo është arsyeja pse ndarjet e ekspozuara dhe pikat fundore të menaxhimit në distancë kanë ende nevojë për mbrojtje të qëllimshme.

Shtrirja e tunelit është një pyetje e veçantë: një tunel i plotë mbart më shumë trafik aplikacionesh sesa një i ndarë, dhe asnjëra shtrirje nuk jep akses në skedarët në disk.

Klienti është një paketë, jo një tub

Klientët e ndërmarrjes janë modularë. Një vendosje mund të përfshijë tunelin plus komponentë qëndrimi, filtrimi ose sigurie, secili me konfigurimin e vet dhe sjelljen e vet të mbledhjes. Të nxjerrim grupin e instaluar nga emri i produktit ose nga një ikonë e lidhur është hamendje. Ata komponentë mund të ndjekin politikën e tyre të modulit në vend të jetëgjatësisë së një sesioni, kështu që shkëputja e tunelit nuk është një buton ndalimi universal.

Një inventar i komponentëve të instaluar përgjigjet ndaj një pyetjeje tjetër nga ajo që përgjigjet ikona e lidhur.

Skriptet ekzekutohen si ju, jo si root

Skriptimi i klientit ekziston dhe ia vlen të kuptohet: grepa të dokumentuar lidhjeje dhe shkëputjeje mund të ekzekutohen gjatë një sesioni, dhe mbeten të çaktivizuar nëse profili dhe vendosja nuk i aktivizojnë. Në Windows ato ekzekutohen brenda kufizimeve ekzistuese të sigurisë të përdoruesit, prandaj mund të thërrasin vetëm atë për të cilën ai përdorues ka të drejtë. Aktivizimi i një grepi është aftësi shtesë e vërtetë; përshkrimi i tij si dhënie automatike administratori nuk është i saktë.

Dallimi ka rëndësi në të dy drejtimet. Është më shumë se një tub pasiv dhe më pak se një llogari administratori domeni.

Dorëzimi dhe përditësimet janë kufiri i vërtetë i besimit

Kush kontrollon paketën dhe kanalin e përditësimit ka më shumë autoritet sesa një faqe interneti të cilës i dhatë një fjalëkalim, sepse mund të ndryshojë atë që ekzekutohet në makinë. Kjo është një arsye legjitime për të rishikuar se si klienti dorëzohet dhe përditësohet përpara instalimit. Megjithatë nuk është i njëjti operacion si bashkimi në një domen ose regjistrimi në menaxhim, të cilat mbeten marrëdhënie të ndara me statusin e tyre të dukshëm.

Nëse organizata kërkon një pajisje të menaxhuar, përdorni rregullimin e miratuar të pajisjes së punës në vend të supozimit se një klient personal mund të ofrojë atë status. Nëse makina është regjistruar tashmë, shkëputja e tunelit nuk e anulon regjistrimin.

Kërkoni një inventar të asaj që është instaluar dhe kush kontrollon përditësimet e tij. Ajo pyetje ka përgjigje; qetësimi nuk ka.