การเข้าสู่ระบบ VPN ไม่ได้ให้สิทธิ์ผู้ดูแลระบบในเครื่อง

สามสิ่งปนกันเมื่อมีคนถามว่า VPN ของที่ทำงานให้สิทธิ์ผู้ดูแลระบบแก่บริษัทบนพีซีส่วนตัวหรือไม่ ได้แก่ การเข้าถึงได้ การติดตั้งซอฟต์แวร์ และการจัดการอุปกรณ์ การเชื่อมต่อ VPN ให้สิ่งแรก แพ็กเกจไคลเอนต์นำสิ่งที่สองมา และมีเพียงการลงทะเบียนแยกต่างหากเท่านั้นที่ให้สิ่งที่สาม กลไกเบื้องหลังแต่ละอย่างแตกต่างกัน และมีเพียงอย่างเดียวเท่านั้นที่เกี่ยวข้องกับข้อมูลรับรองของ Windows

ไม่มีสิ่งใดในอุโมงค์เปลี่ยนบัญชีโดเมนให้เป็นบัญชีภายในเครื่อง

เส้นทางเครือข่าย ไม่ใช่ข้อมูลรับรอง

อุโมงค์ทำให้ทรัพยากรของบริษัทเข้าถึงได้ และอาจให้เส้นทางไปยังไคลเอนต์เอง ภายใต้เงื่อนไขของการกำหนดเส้นทาง การแยกไคลเอนต์ และตัวกรองโฮสต์ มันไม่ได้สร้างบัญชี Windows ภายในเครื่อง ไม่ได้ยกระดับบัญชีที่มีอยู่ และไม่ได้เพิ่มใครลงในกลุ่มภายในเครื่อง บริการที่รับฟังอยู่บนเครื่องยังคงนโยบายการรับของตนเองไม่ว่าคำขอจะมาจากเครือข่ายใดก็ตาม นั่นคือเหตุผลที่การแชร์ที่เปิดเผยและปลายทางการจัดการระยะไกลยังต้องมีการป้องกันอย่างตั้งใจ

ขอบเขตของอุโมงค์เป็นคำถามแยกต่างหาก อุโมงค์เต็มรูปแบบบรรทุกทราฟฟิกแอปพลิเคชันมากกว่าอุโมงค์แบบแยก และไม่มีขอบเขตใดให้การเข้าถึงไฟล์บนดิสก์

ไคลเอนต์เป็นแพ็กเกจ ไม่ใช่ท่อ

ไคลเอนต์องค์กรเป็นแบบโมดูลาร์ การติดตั้งใช้งานอาจรวมอุโมงค์พร้อมส่วนประกอบด้านสถานะ การกรอง หรือความปลอดภัย แต่ละอย่างมีโครงแบบของตนเองและพฤติกรรมการเก็บรวบรวมของตนเอง การอนุมานชุดที่ติดตั้งจากชื่อผลิตภัณฑ์หรือไอคอนที่เชื่อมต่อเป็นการเดา ส่วนประกอบเหล่านั้นอาจเป็นไปตามนโยบายโมดูลของตนเองแทนอายุของเซสชัน ดังนั้นการตัดการเชื่อมต่ออุโมงค์จึงไม่ใช่ปุ่มหยุดสากล

รายการส่วนประกอบที่ติดตั้งตอบคำถามที่แตกต่างจากที่ไอคอนที่เชื่อมต่อตอบ

สคริปต์ทำงานในฐานะคุณ ไม่ใช่ในฐานะ root

การเขียนสคริปต์ฝั่งไคลเอนต์มีอยู่และควรค่าแก่การทำความเข้าใจ ฮุกการเชื่อมต่อและการตัดการเชื่อมต่อที่เขียนไว้สามารถทำงานระหว่างเซสชัน และยังคงปิดใช้งานเว้นแต่โปรไฟล์และการติดตั้งใช้งานจะเปิดใช้งาน ใน Windows ฮุกเหล่านั้นทำงานภายใต้ข้อจำกัดด้านความปลอดภัยที่มีอยู่ของผู้ใช้ จึงเรียกได้เฉพาะสิ่งที่ผู้ใช้คนนั้นมีสิทธิ์ทำ การเปิดใช้งานฮุกเป็นความสามารถเพิ่มเติมจริง การอธิบายว่าเป็นการให้สิทธิ์ผู้ดูแลระบบโดยอัตโนมัติไม่ถูกต้อง

ความแตกต่างนี้สำคัญทั้งสองทิศทาง มันมากกว่าท่อแบบพาสซีฟ และน้อยกว่าบัญชีผู้ดูแลระบบโดเมน

การส่งมอบและการอัปเดตคือขอบเขตความไว้วางใจที่แท้จริง

ใครก็ตามที่ควบคุมแพ็กเกจและช่องทางการอัปเดตมีอำนาจมากกว่าเว็บไซต์ที่คุณให้รหัสผ่าน เพราะพวกเขาเปลี่ยนสิ่งที่ทำงานบนเครื่องได้ นั่นเป็นเหตุผลที่ถูกต้องในการทบทวนวิธีส่งมอบและอัปเดตไคลเอนต์ก่อนติดตั้ง แต่มันก็ยังไม่ใช่การดำเนินการเดียวกับการเข้าร่วมโดเมนหรือลงทะเบียนในการจัดการ ซึ่งยังคงเป็นความสัมพันธ์แยกต่างหากที่มีสถานะมองเห็นได้ของตนเอง

หากองค์กรต้องการอุปกรณ์ที่ได้รับการจัดการ ให้ใช้ข้อตกลงอุปกรณ์ทำงานที่ได้รับอนุมัติแทนการสมมติว่าไคลเอนต์ส่วนบุคคลให้สถานะนั้นได้ หากเครื่องลงทะเบียนไว้แล้ว การตัดการเชื่อมต่ออุโมงค์ไม่ได้ยกเลิกการลงทะเบียน

ขอรายการสิ่งที่ติดตั้งและใครควบคุมการอัปเดต คำถามนั้นมีคำตอบ แต่ความสบายใจไม่มี