Вхід через VPN не дає прав локального адміністратора

Три речі змішуються, коли хтось питає, чи дає робочий VPN компанії права адміністратора на особистому комп’ютері: доступність, встановлення програм і керування пристроєм. Підключення VPN дає перше, клієнтський пакет приносить друге, а третє забезпечує лише окрема реєстрація. Механізм кожного з них різний, і лише один із них пов’язаний з обліковими даними Windows.

Ніщо в тунелі не перетворює доменний обліковий запис на локальний.

Мережевий шлях, а не облікові дані

Тунель робить ресурси компанії доступними й може дати шлях до самого клієнта з урахуванням маршрутизації, ізоляції клієнта та фільтрів хоста. Він не створює локальний обліковий запис Windows, не підвищує права наявного й нікого не додає до локальної групи. Служба, що слухає машину, зберігає власну політику допуску незалежно від того, з якої мережі надійшов запит. Тому відкриті спільні ресурси та кінцеві точки віддаленого керування досі потребують навмисного захисту.

Обсяг тунелю — окреме питання: повний тунель передає більше трафіку програм, ніж розділений, і жоден обсяг не дає доступу до файлів на диску.

Клієнт — це пакет, а не труба

Корпоративні клієнти модульні. Розгортання може включати тунель плюс компоненти стану, фільтрації або безпеки, кожен зі своєю конфігурацією та власною поведінкою збору. Виводити встановлений набір із назви продукту чи значка підключення — це здогад. Ці компоненти можуть дотримуватися власної політики модуля, а не часу життя сеансу, тож відключення тунелю не є універсальною кнопкою зупинки.

Інвентаризація встановлених компонентів відповідає на інше питання, ніж значок підключення.

Скрипти виконуються від вашого імені, а не як root

Клієнтські скрипти існують, і їх варто розуміти: задокументовані перехоплювачі підключення та відключення можуть виконуватися під час сеансу й залишаються вимкненими, якщо профіль і розгортання їх не вмикають. У Windows вони працюють у межах наявних обмежень безпеки користувача, тому можуть викликати лише те, на що цей користувач має право. Увімкнення перехоплювача — реальна додаткова можливість; описувати його як автоматичне надання прав адміністратора некоректно.

Різниця важлива в обидва боки. Це більше, ніж пасивна труба, і менше, ніж доменний обліковий запис адміністратора.

Доставка й оновлення — справжня межа довіри

Той, хто контролює пакет і канал оновлень, має більше повноважень, ніж сайт, якому ви дали пароль, бо може змінити те, що виконується на машині. Це законна причина переглянути, як клієнт доставляється й оновлюється, перш ніж його встановлювати. Це все ж не та сама операція, що приєднання до домену чи реєстрація в керуванні, які залишаються окремими стосунками зі своїм видимим статусом.

Якщо організації потрібен керований пристрій, використовуйте її затверджений порядок для робочого пристрою, а не припускайте, що особистий клієнт може забезпечити такий статус. Якщо машину вже зареєстровано, відключення тунелю не скасовує реєстрацію.

Запитайте інвентаризацію того, що встановлено, і хто керує його оновленнями. У цього питання є відповідь; у заспокоєння — ні.