Blaaier sê steeds Bestuur deur jou organisasie met VPN?
Die bestuurde banier wys blaaierbeleid, nie jou netwerkroete nie. Sien watter laag wat aanteken, en hoekom ’n VPN toestel- of rekeningrekords nie kan verander nie.
Jy het twee uur gelede die VPN gekoppel en die blaaier se kieslys lees steeds Bestuur deur jou organisasie. Niks het verander nie, en niks sou verander nie. Daardie banier wys hoe die blaaier opgestel is, nie waarheen sy verkeer gaan nie.
Dieselfde patroon duik op ander plekke op: ’n agent in die systeemlaai wat jy nooit geïnstalleer het nie, ’n werkrekening wat lêers sinkroniseer, ’n nakomingsversoek nadat jy DNS verander het. Elkeen hoort by ’n ander laag, en net een van daardie lae gee om jou tonnel.
Bepaal eers na watter laag jy kyk. Die meeste verwarring kom daaruit dat ’n toestelbestuur-feit en ’n netwerkroete-feit as dieselfde vraag behandel word.
Die banier is ’n beleidsvlag
Chrome wys daardie etiket wanneer ondernemingsbeleide op die profiel van toepassing is. Die beleide kom as lêers of registerwaardes wat deur ’n installeerder geplaas is, of deur wolkbestuursinskrywing wat aan ’n rekening gekoppel is. Nie een van dié roetes raak aan die netwerkkoppelvlak nie.
Twee interne bladsye besleg dit sonder raaiwerk. chrome://policy lys elke toegepaste beleid, sy waarde en of dit van die platform of van wolkbestuur kom. chrome://management rapporteer of die blaaier bestuur word en, op onlangse weergawes, wat dit bestuur. As beleide gelys word, is die banier akkuraat en is ’n VPN irrelevant daarvoor.
Dit is ook hoekom die etiket ’n ander VPN-bediener, ’n ander DNS-resolver of ’n hotspot oorleef. Jy kyk na opstellingstoestand wat op die skyf bly.
Drie lae, drie verskillende rekords
Die fout is om aan te neem dat daar een waarnemer is. In die praktyk bestaan daar minstens drie, en hulle beantwoord verskillende vrae.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Lees die derde ry twee keer. ’n VPN verberg jou adres vir die bestemming, maar die bestemming weet reeds wie jy is omdat jy geauthentiseer het. Die tonnel het die verkeer verskuif; dit het nie die rekening anoniem gemaak nie.
Wat inskrywing wel en nie openbaar nie
Microsoft publiseer ’n gebruikersgerigte lys vir Intune-inskrywing: toestelmodel en -naam, bedryfstelsel en weergawe, programinventaris, en vir persoonlik besitde toestelle ’n smaller stel. Dieselfde bladsy sê duidelik dat die organisasie nie deur inskrywing alleen na blaai geskiedenis, e-pos, wagwoorde, foto’s of die inhoud van dokumente kan kyk nie.
Daardie beperking hoort by Intune. Dit is nie ’n eienskap van die frase bestuurde toestel nie. ’n Eindpunt-sekuriteitsagent, ’n webproxy wat TLS termineer, ’n blaaieruitbreiding met inhoudtoegang of ’n dataverliesvoorkomingskliënt kan elkeen meer insamel, en sommige baie meer. Vra watter produkte ontplooi is eerder as watter woord in ’n kieslys verskyn.
Dit maak in beide rigtings saak. Moenie aanneem dat inskrywing totale sigbaarheid gee nie, en moenie aanneem dat dit niks gee nie. Die eerlike antwoord is ’n produklys plus ’n inskrywingsmodel: maatskappybesit, bring-jou-eie met ’n werkprofiel, of ’n persoonlike blaaier wat toevallig by ’n werkrekening aangemeld is.
Hoekom die rekeningrekord nie weg getonnel kan word nie
Wanneer jy ’n werkdiens oopmaak, teken die diens die sessie aan teen die rekening wat geauthentiseer het. Roetering deur ’n VPN in ’n ander land verander die adres wat dit log; dit verwyder nie die identiteit, die token of die ouditinskrywing nie. Privaat blaai verander dit ook nie, want dit beperk ’n plaaslike sessie, nie die geloofsbewyse wat jy aanbied nie.
Organisasies vereis toenemend ’n goedgekeurde kliënt en mag ander by die poort blokkeer. Om dit te beveg is nie ’n privaatheidstrategie nie. Dit laat gewoonlik ’n nakomingskontrole misluk, breek ’n vereiste toepassing en plaas die rekening in gevaar vir ’n voordeel wat nooit bestaan het nie.
Wat om met die simptoom te doen
Begin waar die bewyse goedkoop is. Maak chrome://policy oop en let op die beleidsname en hul bron, dan chrome://management vir die inskrywingstoestand. Op macOS kyk by Instellings, Algemeen, Toestelbestuur; op Windows by Rekeninge, Toegang tot werk of skool. Daardie twee skerms sê vir jou of die beheer op blaaier-, toestel- of net rekeningvlak is.
Besluit dan wat jy werklik wil hê. As die toestel maatskappybesit is, is die bestuur die prys vir die gebruik daarvan en verander die VPN niks daaraan nie. As dit persoonlik is met ’n werkprofiel, koppel die gedokumenteerde verwyderingsvloei die profiel los en kos dit jou gewoonlik werktoegang; daardie ruil is die werklike besluit, nie aan watter bediener jy koppel nie.
As die doel is om werk van persoonlike verkeer te skei, skei eerder die identiteite. ’n Tweede blaaierprofiel sonder die werkrekening, of ’n tweede toestel, doen meer vir daardie grens as enige tonnel, want dit verander wat geïnstalleer is en watter rekening teenwoordig is.