المتصفح ما زال يظهر «مُدار بواسطة مؤسستك» مع VPN؟
شريط الإدارة يعكس سياسة المتصفح لا مسار شبكتك. تعرّف على الطبقة التي تسجّل ماذا، ولماذا لا يستطيع VPN تغيير سجلات الجهاز أو الحساب.
اتصلت بـ VPN قبل ساعتين، وما زالت قائمة المتصفح تقول «مُدار بواسطة مؤسستك». لم يتغيّر شيء، ولن يتغيّر. ذلك الشريط يبيّن كيف يُضبط المتصفح، لا إلى أين يذهب حراكه.
النمط نفسه يظهر في مواضع أخرى: وكيل في صينية النظام لم تثبته أنت، حساب عمل يزامن ملفات، مطالبة بالامتثال بعد أن غيّرت DNS. كل واحد منها ينتمي إلى طبقة مختلفة، وطبقة واحدة فقط منها تهتم بنفقك.
حدّد أولاً أي طبقة تنظر إليها. معظم الالتباس يأتي من معاملة حقيقة إدارة الجهاز وحقيقة مسار الشبكة كأنهما السؤال نفسه.
الشريط علامة سياسة
يعرض Chrome ذلك الوسم عندما تُطبَّق سياسات المؤسسة على الملف الشخصي. تصل السياسات على شكل ملفات أو قيم في السجل يضعها مثبّت، أو عبر تسجيل في الإدارة السحابية مرتبط بحساب. لا مسار من هذين يمسّ واجهة الشبكة.
صفحتان داخليتان تحسمان الأمر بلا تخمين. chrome://policy يسرد كل سياسة مطبقة وقيمتها وما إذا كانت من المنصة أو من الإدارة السحابية. chrome://management يبيّن ما إذا كان المتصفح مُداراً، وفي الإصدارات الحديثة ما الذي يديره. إذا ظهرت سياسات في القائمة، فالشريط دقيق و VPN لا علاقة له به.
ولهذا أيضاً يبقى الوسم مع خادم VPN مختلف أو محلل DNS آخر أو نقطة اتصال. أنت تنظر إلى حالة ضبط تبقى على القرص.
ثلاث طبقات، ثلاثة سجلات مختلفة
الخطأ هو افتراض وجود مراقب واحد. عملياً يوجد ثلاثة على الأقل، وكل منها يجيب عن سؤال مختلف.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
اقرأ الصف الثالث مرتين. يخفي VPN عنوانك عن الوجهة، لكن الوجهة تعرف من أنت أصلاً لأنك وثّقت هويتك. النفق نقل الحركة؛ ولم يجعل الحساب مجهولاً.
ما يكشفه التسجيل وما لا يكشفه
تنشر Microsoft قائمة موجهة للمستخدم بشأن التسجيل في Intune: طراز الجهاز واسمه، ونظام التشغيل وإصداره، وجرد التطبيقات، وللأجهزة المملوكة شخصياً مجموعة أضيق. وتقول الصفحة نفسها صراحة إن المؤسسة لا تستطيع رؤية تاريخ التصفح أو البريد أو كلمات المرور أو الصور أو محتويات المستندات من خلال التسجيل وحده.
ذلك الحد يخص Intune. وهو ليس خاصية في عبارة جهاز مُدار. وكيل أمن الأطراف الطرفية، أو وكيل ويب ينهي TLS، أو إضافة متصفح تصل إلى المحتوى، أو عميل لمنع تسرب البيانات، كل منها يستطيع جمع المزيد، وبعضها يجمع الكثير. اسأل عن المنتجات المنشورة لا عن الكلمة الظاهرة في قائمة.
وهذا مهم في الاتجاهين. لا تفترض أن التسجيل يمنح رؤية كاملة، ولا تفترض أنه لا يمنح شيئاً. الجواب الصادق هو قائمة منتجات مع نموذج تسجيل: مملوك للشركة، أو جهازك الخاص مع ملف عمل، أو متصفح شخصي مسجّل الدخول بحساب عمل صدفة.
لماذا لا يمكن تهريب سجل الحساب بعيداً
عندما تفتح خدمة عمل، تسجّل الخدمة الجلسة على الحساب الذي وثّق هويته. التوجيه عبر VPN في بلد آخر يغيّر العنوان الذي تسجله؛ لكنه لا يزيل الهوية ولا الرمز ولا قيد التدقيق. التصفح الخاص لا يغيّر ذلك أيضاً، لأنه يحدّ جلسة محلية لا بيانات الاعتماد التي تقدّمها.
تطلب المؤسسات على نحو متزايد عميلاً معتمداً وقد تحجب غيره عند البوابة. محاربة ذلك ليست استراتيجية خصوصية. فهي عادة تُفشل فحص امتثال، وتكسر تطبيقاً مطلوباً، وتعرض الحساب للخطر مقابل فائدة لم توجد قط.
ما تفعله بالعَرَض
ابدأ حيث الدليل رخيص. افتح chrome://policy ولاحظ أسماء السياسات ومصدرها، ثم chrome://management لحالة التسجيل. على macOS تحقق من الإعدادات، عام، إدارة الجهاز؛ وعلى Windows من الحسابات، الوصول إلى العمل أو المدرسة. هاتان الشاشتان تخبرانك هل الضابط على مستوى المتصفح أو الجهاز أو مجرد حساب مسجّل في مكان ما.
ثم قرّر ما تريده فعلاً. إذا كان الجهاز مملوكاً للشركة، فالإدارة ثمن استخدامه و VPN لا يغيّر ذلك. وإذا كان شخصياً مع ملف عمل، فمسار الإزالة الموثّق يفصل الملف وتخسر عادة وصول العمل؛ تلك المقايضة هي القرار الحقيقي، لا الخادم الذي تتصل به.
إذا كان الهدف فصل العمل عن الحركة الشخصية، فافصل الهويات بدلاً من ذلك. ملف متصفح ثانٍ بلا حساب العمل، أو جهاز ثانٍ، يفعل لهذه الحدود أكثر من أي نفق، لأنه يغيّر ما هو مثبت وأي حساب حاضر.