En VPN-inloggning ger inte lokala administratörsrättigheter

Tre saker blandas ihop när någon frågar om arbets-VPN ger företaget administratörsrättigheter på en personlig dator: nåbarhet, programvaruinstallation och enhetshantering. En VPN-anslutning ger det första, klientpaketet tar med det andra, och endast en separat registrering ger det tredje. Mekanismen bakom var och en är olika, och bara en av dem innefattar en Windows-autentiseringsuppgift.

Ingenting i en tunnel gör ett domänkonto till ett lokalt konto.

En nätverksväg, inte en autentiseringsuppgift

En tunnel gör företagets resurser nåbara och kan ge en väg mot själva klienten, beroende på routning, klientisolering och värd filter. Den skapar inget lokalt Windows-konto, höjer inte ett befintligt och lägger inte till någon i en lokal grupp. En tjänst som lyssnar på datorn behåller sin egen antagningspolicy oavsett vilket nätverk begäran kom från. Därför behöver exponerade delningar och slutpunkter för fjärrhantering fortfarande avsiktligt skydd.

Tunnelns omfattning är en separat fråga: en full tunnel bär mer applikationstrafik än en delad, och ingen av omfattningarna ger åtkomst till filer på disken.

Klienten är ett paket, inte ett rör

Företagsklienter är modulära. En utrullning kan omfatta tunneln plus komponenter för hållning, filtrering eller säkerhet, var och en med egen konfiguration och eget insamlingsbeteende. Att härleda den installerade uppsättningen från produktnamnet eller en ansluten ikon är gissningar. Dessa komponenter kan följa sin egen modulpolicys i stället för livslängden för en session, så att koppla från tunneln är inte en universell stoppknapp.

En förteckning över installerade komponenter svarar på en annan fråga än den anslutna ikonen.

Skript körs som du, inte som root

Klientskriptning finns och är värt att förstå: dokumenterade anslutnings- och frånkopplingskrokar kan köras under en session och förblir inaktiverade om inte profilen och utrullningen aktiverar dem. På Windows körs de inom användarens befintliga säkerhetsbegränsningar, så de kan bara anropa det användaren har rätt till. Att aktivera en krok är en verklig extra förmåga; att beskriva den som en automatisk administratörstilldelning är inte korrekt.

Skillnaden spelar roll i båda riktningarna. Det är mer än ett passivt rör och mindre än ett domänadministratörskonto.

Leverans och uppdateringar är den egentliga förtroendegränsen

Den som kontrollerar paketet och uppdateringskanalen har större befogenhet än en webbplats du gett ett lösenord, eftersom de kan ändra vad som körs på datorn. Det är ett legitimt skäl att granska hur klienten levereras och uppdateras innan du installerar den. Det är fortfarande inte samma operation som att gå med i en domän eller registrera sig i hantering, som förblir separata förhållanden med egen synlig status.

Om organisationen kräver en hanterad enhet, använd dess godkända arbetsenhetsordning i stället för att anta att en personlig klient kan ge den statusen. Om datorn redan är registrerad ångrar inte frånkoppling av tunneln registreringen.

Be om en förteckning över vad som är installerat och vem som kontrollerar dess uppdateringar. Den frågan har ett svar; lugnandet har det inte.