Soll ein VPN für Mitarbeiter das ganze Firmennetz öffnen?

Ein VPN für Mitarbeiter sollte nicht das ganze Firmennetz öffnen, sondern nur das, was die Arbeit wirklich braucht. Als wir unser selbst betriebenes NetBird eingerichtet haben, habe ich als Erstes die Standardregel abgeschaltet, die jedem Gerät alles erlaubt. Zwei Kollegen erreichen jetzt den Dateiserver und den Remote-Desktop, aber keine Kameras, keine smarten Steckdosen und keinen Wartungszugang zu den Servern. Jede Erstanmeldung gebe ich außerdem von Hand frei. Ein Tunnel ins Haus ist eine Tür, und eine Tür öffnet man für einen Raum, nicht für das ganze Gebäude.