Пријава на VPN не даје локална администраторска права

Три ствари се помешају кад неко пита да ли радни VPN даје компанији администраторска права на личном рачунару: доступност, инсталација софтвера и управљање уређајем. VPN веза даје прво, клијентски пакет доноси друго, а само засебан упис пружа треће. Механизам иза свакога је различит и само један укључује Windows акредитив.

Ништа у тунелу не претвара доменски рачун у локални.

Мрежни пут, а не акредитив

Тунел чини ресурсе компаније доступнима и може пружити пут ка самом клијенту, уз услов рутирања, изолације клијента и филтера хоста. Он не ствара локални Windows рачун, не подиже овлашћења постојећег и никога не додаје у локалну групу. Сервис који слуша на машини задржава сопствена правила пријема без обзира са које је мреже захтев стигао. Зато изложени дељени ресурси и крајње тачке даљинског управљања и даље траже намерну заштиту.

Обим тунела је засебно питање: пуни тунел преноси више апликационог саобраћаја од подељеног и ниједан обим не даје приступ датотекама на диску.

Клијент је пакет, а не цев

Пословни клијенти су модуларни. Увођење може укључивати тунел плус компоненте за стање, филтрирање или безбедност, свака са својом конфигурацијом и својим понашањем прикупљања. Закључивати о инсталираном скупу из назива производа или иконе везе је нагађање. Те компоненте могу следити властита правила модула уместо трајања сесије, па искључивање тунела није универзално дугме за заустављање.

Инвентар инсталираних компоненти одговара на друго питање од онога на које одговара икона везе.

Скрипте се извршавају као ви, не као root

Клијентске скрипте постоје и вреди их разумети: документоване куке за повезивање и искључивање могу се извршавати током сесије и остају искључене осим ако их профил и увођење омогуће. На Windows-у раде унутар корисникових постојећих безбедносних ограничења, па могу позвати само оно на шта тај корисник има право. Омогућавање куке стварна је додатна способност; описивати је као аутоматско давање администраторских права није тачно.

Разлика је важна у оба смера. То је више од пасивне цеви и мање од доменског администраторског рачуна.

Испорука и ажурирања права су граница поверења

Ко контролише пакет и канал ажурирања има већа овлашћења од веб странице којој сте дали лозинку, јер може променити шта се извршава на машини. То је легитиман разлог да прегледате како се клијент испоручује и ажурира пре инсталације. То ипак није исти поступак као придруживање домену или упис у управљање, који остају одвојени односи са властитим видљивим статусом.

Ако организација захтева управљани уређај, користите њен одобрени аранжман за радни уређај уместо претпоставке да лични клијент може дати тај статус. Ако је машина већ уписана, искључивање тунела не поништава упис.

Тражите инвентар онога што је инсталирано и ко контролише његова ажурирања. То питање има одговор; умиривање нема.