VPN 登录不会授予本地管理员权限

当有人问工作 VPN 是否给了公司对个人电脑的管理员权限时，三件事常被混为一谈：可达性、软件安装和设备管理。VPN 连接提供第一项，客户端软件包带来第二项，只有单独的注册才提供第三项。三者的机制各不相同，而且只有一项涉及 Windows 凭据。

隧道本身不会把域账户变成本地账户。

一条网络路径，而不是一份凭据

隧道让公司资源变得可达，并可能提供通往客户端自身的路径，但这取决于路由、客户端隔离和主机筛选。它不会创建本地 Windows 账户，不会提升现有账户，也不会把任何人加入本地组。在机器上监听的服务无论请求来自哪个网络，都会保持自己的准入策略。正因如此，暴露的共享和远程管理端点仍然需要刻意保护。

隧道的范围是另一个问题：完整隧道比拆分隧道承载更多应用流量，而两种范围都不会授予对磁盘上文件的访问权。

客户端是一个软件包，而不是一根管道

企业客户端是模块化的。一次部署可以包含隧道以及状态、过滤或安全组件，每个组件都有自己的配置和收集行为。从产品名称或已连接的图标推断已安装的组件集，只是猜测。这些组件可能遵循各自的模块策略，而不是会话的生命周期，因此断开隧道并不是万能的停止按钮。

已安装组件的清单回答的是另一个问题，与已连接图标所回答的不同。

脚本以你的身份运行，而不是以 root 身份运行

客户端脚本确实存在，值得理解：有文档记录的连接和断开钩子可以在会话期间运行，除非配置文件和部署启用它们，否则它们保持禁用。在 Windows 上，它们在用户现有的安全限制内运行，因此只能调用该用户有权做的事情。启用钩子是真实的额外能力；把它说成自动授予管理员权限并不准确。

这一区别在两个方向上都很重要。它多于一根被动管道，又少于一个域管理员账户。

交付和更新才是真正的信任边界

谁控制软件包和更新渠道，谁就比一个你给过密码的网站拥有更大的权限，因为他们可以改变机器上运行的东西。在安装之前审视客户端如何交付和更新，是正当的理由。这仍然不等同于加入域或注册管理，后两者是各自拥有可见状态的独立关系。

如果组织要求使用受管理的设备，请使用其批准的工作设备安排，而不是假设个人客户端能提供那种状态。如果机器已经注册，断开隧道并不会撤销注册。

要求一份关于装了什么以及谁控制其更新的清单。这个问题有答案；那份安心没有。