VPN oturumu yerel yönetici hakları vermez

İş VPN'inin kişisel bir bilgisayarda şirkete yönetici hakları verip vermediği sorulduğunda üç şey karışır: erişilebilirlik, yazılım kurulumu ve cihaz yönetimi. VPN bağlantısı birincisini sağlar, istemci paketi ikincisini getirir ve üçüncüsünü yalnızca ayrı bir kayıt sağlar. Her birinin ardındaki mekanizma farklıdır ve yalnızca biri bir Windows kimlik bilgisi içerir.

Bir tüneldeki hiçbir şey etki alanı hesabını yerel hesaba dönüştürmez.

Bir ağ yolu, kimlik bilgisi değil

Bir tünel şirket kaynaklarını erişilebilir kılar ve yönlendirme, istemci yalıtımı ve ana makine filtrelerine bağlı olarak istemcinin kendisine bir yol sunabilir. Yerel bir Windows hesabı oluşturmaz, var olanı yükseltmez ve kimseyi yerel bir gruba eklemez. Makinede dinleyen bir hizmet, isteğin hangi ağdan geldiğine bakmaksızın kendi kabul ilkesini korur. Bu yüzden açığa çıkmış paylaşımlar ve uzaktan yönetim uç noktaları hâlâ bilinçli korumaya ihtiyaç duyar.

Tünelin kapsamı ayrı bir sorudur: tam tünel bölünmüş olandan daha fazla uygulama trafiği taşır ve hiçbir kapsam diskteki dosyalara erişim vermez.

İstemci bir pakettir, boru değil

Kurumsal istemciler modülerdir. Bir dağıtım tünelin yanı sıra duruş, filtreleme veya güvenlik bileşenleri içerebilir, her biri kendi yapılandırmasına ve kendi toplama davranışına sahiptir. Yüklü kümeyi ürün adından veya bağlı bir simgeden çıkarmak tahmindir. Bu bileşenler oturum ömrü yerine kendi modül ilkelerini izleyebilir, bu nedenle tüneli kesmek evrensel bir durdurma düğmesi değildir.

Yüklü bileşenlerin envanteri bağlı simgenin yanıtladığından farklı bir soruyu yanıtlar.

Betikler root olarak değil, siz olarak çalışır

İstemci betiklemesi vardır ve anlaşılmaya değer: belgelenmiş bağlantı ve bağlantı kesme kancaları bir oturum sırasında çalışabilir ve profil ile dağıtım bunları etkinleştirmedikçe devre dışı kalır. Windows'ta kullanıcının mevcut güvenlik kısıtlamaları içinde çalışırlar, dolayısıyla yalnızca o kullanıcının hakkı olan şeyi çağırabilirler. Bir kancayı etkinleştirmek gerçek bir ek yetenektir; onu otomatik yönetici verilmesi olarak tanımlamak doğru değildir.

Bu ayrım her iki yönde de önemlidir. Pasif bir borudan fazlası, etki alanı yöneticisi hesabından azıdır.

Dağıtım ve güncellemeler gerçek güven sınırıdır

Paketi ve güncelleme kanalını kontrol eden kişi, parola verdiğiniz bir web sitesinden daha fazla yetkiye sahiptir, çünkü makinede neyin çalıştığını değiştirebilir. İstemcinin nasıl dağıtıldığını ve güncellendiğini kurmadan önce gözden geçirmek için bu meşru bir nedendir. Yine de bu, bir etki alanına katılmak veya yönetime kaydolmakla aynı işlem değildir; onlar kendi görünür durumlarına sahip ayrı ilişkiler olarak kalır.

Kuruluş yönetilen bir cihaz gerektiriyorsa, kişisel bir istemcinin bu durumu sağlayabileceğini varsaymak yerine onaylanmış iş cihazı düzenini kullanın. Makine zaten kayıtlıysa, tüneli kesmek kaydı geri almaz.

Neyin yüklü olduğunu ve güncellemelerini kimin kontrol ettiğini gösteren bir envanter isteyin. O sorunun bir yanıtı var; rahatlatmanın yok.