Device Posture is een van de interessantste beveiligingsnieuwigheden in Parallels RAS 22. Het idee is eenvoudig: het clientapparaat controleren voordat een sessie wordt toegestaan, en de compliancestatus daarna gebruiken in het RAS-beleid. We testten de functie met drie generaties Parallels Client om te zien wat in de praktijk echt werkt.
Wat kun je controleren?
RAS 22 biedt regels voor de minimale Windows-versie, registerwaarden, UAC, Windows Update, actieve processen, de antivirusstatus en de profielen van Windows Defender Firewall.
Elke regel kun je afzonderlijk inschakelen, documenteren en instellen met een andere uitkomst, afhankelijk van het evaluatieresultaat.
Access denied, Non-compliant en Compliant
Bij het aanmaken van een regel maakt RAS onderscheid tussen een apparaat dat is geëvalueerd en niet aan de regel voldoet, en een apparaat dat niet kon worden geëvalueerd. In beide gevallen kan de beheerder de toegang weigeren of een expliciete niet-compliant status aanhouden.
- Access denied blokkeert de verbinding en kan een sessie verbreken die later niet meer compliant is.
- Non-compliant laat de sessie doorlopen en maakt de status zichtbaar voor de RAS-mechanismen.
- Compliant kan ook worden gebruikt om beleid specifiek op compliant apparaten toe te passen.
- Not evaluated maakt het mogelijk oudere of niet-ondersteunde clients apart te behandelen.
Device Posture kan een Client Policy aansturen
Het resultaat is dus niet alleen een foutmelding. In een Client Policy kan Device Posture als criterium dienen: het beleid toepassen wanneer het apparaat compliant of niet-compliant is, of desgewenst wanneer het niet kan worden geëvalueerd.
Dat maakt nuttige scenario’s mogelijk: de toegang behouden maar functies beperken op een niet-compliant apparaat, een strenger beleid toepassen, of compliant apparaten de volledige ervaring bieden.
Onze testconfiguratie
We stelden zeven regels in die de toegang weigeren wanneer een controle echt mislukt, en het apparaat als niet-compliant markeren wanneer een controle niet kan worden geëvalueerd.
De scenario’s waren bewust makkelijk te reproduceren: Windows 11 als minimum, een ontbrekende registerwaarde, uitgeschakelde UAC, een verplicht proces, antivirus, Windows-updates en firewallprofielen.
De clientversie bepaalt de dekking
Dat is de belangrijkste bevinding uit onze tests. De configuratie zit in RAS 22, maar de evaluatie gebeurt door de client die op het apparaat is geïnstalleerd.
| Geteste client | Waargenomen dekking |
|---|---|
| 20.2.26020 | Minimale OS-versie, register en UAC |
| 21.2.27429 | Minimale OS-versie, register en UAC |
| 22.0.28160 | Volledige dekking van de geteste Windows-controles |
Met de clients 20.2 en 21.2 zijn de regels zichtbaar in de console, maar worden niet alle controles op processen, antivirus, Windows Update en firewall gerapporteerd. Ze volgen dus de uitkomst die is ingesteld voor een controle die niet kan worden bepaald.
Met client 22.0 bevestigden we de volledige dekking van de ingestelde Windows-controles. Oudere clients moet je niet als gelijkwaardig aan een RAS 22-client beschouwen.
Nog vooral gericht op Windows
De definitieve documentatie van RAS 22 beschrijft de Device Posture-evaluaties via de Windows-client. De gedetailleerde controles die we testten — register, UAC, processen, antivirus, Windows Update en Windows Defender Firewall — zijn duidelijk aan Windows gebonden.
Een gelijkwaardige dekking voor macOS of Linux hebben we niet bevestigd. Device Posture moet dan ook niet worden voorgesteld als een identieke platformonafhankelijke controlematrix: in de geteste versie ligt de diepste dekking bij Windows.
Conclusie
Device Posture is een echte vernieuwing in RAS 22, maar de effectiviteit hangt af van de clientversie. Voor de volledige Windows-dekking rol je client 22 uit. Oudere clients kunnen nog gedeeltelijk worden geëvalueerd, terwijl sommige regels niet te evalueren blijven.
Onze volgende tests richten zich op het gedrag van oudere clients wanneer er een beleid wordt toegepast, en op de werkelijke mogelijkheden onder macOS en Linux. We publiceren de resultaten in het vervolg van de reeks.
De tests zijn uitgevoerd in een RAS 22-labomgeving. De resultaten beschrijven de geteste builds en vervangen niet de documentatie van Parallels of de officiële compatibiliteitsmatrices.
