Đăng nhập VPN không cấp quyền quản trị viên cục bộ

Ba việc bị lẫn lộn khi ai đó hỏi liệu VPN công việc có cấp cho công ty quyền quản trị viên trên một PC cá nhân hay không: khả năng truy cập, cài đặt phần mềm và quản lý thiết bị. Kết nối VPN cung cấp việc thứ nhất, gói ứng dụng khách mang lại việc thứ hai, và chỉ một lần đăng ký riêng mới cung cấp việc thứ ba. Cơ chế đằng sau mỗi việc khác nhau, và chỉ một trong số đó liên quan đến thông tin đăng nhập Windows.

Không có gì trong đường hầm biến tài khoản miền thành tài khoản cục bộ.

Một đường mạng, không phải thông tin đăng nhập

Đường hầm giúp tài nguyên của công ty có thể truy cập được và có thể cung cấp đường đi tới chính ứng dụng khách, tùy thuộc vào định tuyến, cách ly ứng dụng khách và bộ lọc máy chủ. Nó không tạo tài khoản Windows cục bộ, không nâng quyền một tài khoản sẵn có và không thêm ai vào nhóm cục bộ. Một dịch vụ lắng nghe trên máy vẫn giữ chính sách tiếp nhận của riêng nó bất kể yêu cầu đến từ mạng nào. Đó là lý do các chia sẻ bị lộ và điểm cuối quản lý từ xa vẫn cần sự bảo vệ có chủ đích.

Phạm vi của đường hầm là một câu hỏi riêng: đường hầm đầy đủ mang nhiều lưu lượng ứng dụng hơn đường hầm chia tách, và không phạm vi nào cấp quyền truy cập các tệp trên đĩa.

Ứng dụng khách là một gói, không phải một ống dẫn

Ứng dụng khách doanh nghiệp có tính mô-đun. Một lần triển khai có thể bao gồm đường hầm cùng các thành phần tư thế, lọc hoặc bảo mật, mỗi thành phần có cấu hình và hành vi thu thập riêng. Suy ra bộ đã cài từ tên sản phẩm hoặc biểu tượng đã kết nối là phỏng đoán. Những thành phần đó có thể tuân theo chính sách mô-đun của riêng chúng thay vì vòng đời của phiên, nên ngắt kết nối đường hầm không phải là nút dừng phổ quát.

Bản kiểm kê các thành phần đã cài trả lời một câu hỏi khác với câu hỏi mà biểu tượng đã kết nối trả lời.

Các tập lệnh chạy với tư cách bạn, không phải root

Việc viết tập lệnh phía ứng dụng khách có tồn tại và đáng để hiểu: các móc nối kết nối và ngắt kết nối đã được ghi tài liệu có thể chạy trong một phiên, và chúng vẫn bị tắt trừ khi hồ sơ và bản triển khai bật chúng. Trên Windows, chúng chạy trong các giới hạn bảo mật sẵn có của người dùng, nên chỉ có thể gọi những gì người dùng đó có quyền làm. Bật một móc nối là khả năng bổ sung thực sự; mô tả nó như việc cấp quyền quản trị viên tự động là không chính xác.

Sự khác biệt quan trọng theo cả hai hướng. Nó nhiều hơn một ống dẫn thụ động và ít hơn một tài khoản quản trị viên miền.

Việc phân phối và cập nhật mới là ranh giới tin cậy thực sự

Ai kiểm soát gói và kênh cập nhật có quyền hạn lớn hơn một trang web mà bạn đã trao mật khẩu, vì họ có thể thay đổi những gì chạy trên máy. Đó là lý do chính đáng để xem xét cách ứng dụng khách được phân phối và cập nhật trước khi cài đặt. Tuy vậy đây vẫn không phải thao tác giống như tham gia miền hay đăng ký vào quản lý, vốn là những quan hệ riêng có trạng thái hiển thị riêng.

Nếu tổ chức yêu cầu thiết bị được quản lý, hãy dùng thỏa thuận thiết bị làm việc đã được phê duyệt thay vì giả định ứng dụng khách cá nhân có thể cung cấp trạng thái đó. Nếu máy đã được đăng ký, ngắt kết nối đường hầm không hủy đăng ký.

Hãy yêu cầu một bản kiểm kê những gì đã cài và ai kiểm soát các bản cập nhật của nó. Câu hỏi đó có câu trả lời; sự an tâm thì không.