Браўзер дагэтуль паказвае «Кіруецца вашай арганізацыяй» пры VPN?
Панэль кіравання адлюстроўвае палітыку браўзера, а не ваш сеткавы маршрут. Паглядзіце, які ўзровень што запісвае і чаму VPN не можа змяніць запісы пра прыладу ці ўліковы запіс.
Вы падключылі VPN дзве гадзіны таму, а меню браўзера ўсё яшчэ паведамляе: «Кіруецца вашай арганізацыяй». Нічога не змянілася, і нічога не павінна было змяніцца. Гэтая панэль паказвае, як наладжаны браўзер, а не куды ідзе яго трафік.
Тая ж карціна сустракаецца ў іншых месцах: агент у латку, які вы ніколі не ўсталёўвалі, працоўны ўліковы запіс, які сінхранізуе файлы, запыт на адпаведнасць пасля змены DNS. Кожнае з гэтага належыць іншаму ўзроўню, і толькі адзін з гэтых узроўняў мае дачыненне да вашага тунелю.
Спачатку вызначце, на які ўзровень вы глядзіце. Большасць блытаніны ўзнікае таму, што факт кіравання прыладай і факт сеткавага маршруту прымаюць за адно пытанне.
Панэль — гэта сцяг палітыкі
Chrome паказвае гэтую метку, калі да профілю прымяняюцца карпаратыўныя палітыкі. Палітыкі прыходзяць як файлы або значэнні рэестра, размешчаныя ўсталёўшчыкам, альбо праз рэгістрацыю ў хмарным кіраванні, прывязаную да ўліковага запісу. Ні адзін з гэтых шляхоў не закранае сеткавы інтэрфейс.
Дзве ўнутраныя старонкі вырашаюць пытанне без здагадак. chrome://policy пералічвае ўсе ўжытыя палітыкі, іх значэнні і паходжанне — з платформы ці з хмарнага кіравання. chrome://management паведамляе, ці кіруецца браўзер і, у новых версіях, што менавіта ім кіруе. Калі палітыкі пералічаны, панэль дакладная, і VPN да яе не мае дачынення.
Менавіта таму метка застаецца пры іншым серверы VPN, іншым DNS-рэзалверы або кропцы доступу. Вы бачыце стан налад, які захоўваецца на дыску.
Тры ўзроўні, тры розныя запісы
Памылка — меркаваць, што назіральнік адзін. На практыцы іх як мінімум тры, і яны адказваюць на розныя пытанні.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Прачытайце трэці радок двойчы. VPN хавае ваш адрас ад пункта прызначэння, але пункт прызначэння ўжо ведае, хто вы, бо вы прайшлі аўтэнтыфікацыю. Тунель перамясціў трафік; ён не зрабіў уліковы запіс ананімным.
Што рэгістрацыя паказвае, а што не
Microsoft публікуе арыентаваны на карыстальніка спіс для рэгістрацыі ў Intune: мадэль і назва прылады, аперацыйная сістэма і версія, інвентар праграм, а для асабістых прылад — вузейшы набор. Тая ж старонка проста кажа, што арганізацыя не бачыць гісторыю прагляду, пошту, паролі, фота або змест дакументаў толькі праз рэгістрацыю.
Гэтае абмежаванне належыць Intune. Яно не ўласцівасць фразы «кіраваная прылада». Агент бяспекі канчатковых пунктаў, вэб-праксі, які завяршае TLS, пашырэнне браўзера з доступам да змесціва або кліент абароны ад уцечкі даных могуць збіраць больш, а некаторыя — значна больш. Спытайце, якія прадукты разгорнуты, а не якое слова відаць у меню.
Гэта важна ў абодва бакі. Не думайце, што рэгістрацыя дае поўную бачнасць, і не думайце, што яна не дае нічога. Сумленны адказ — спіс прадуктаў плюс мадэль рэгістрацыі: уласнасць кампаніі, ваша прылада з працоўным профілем або асабісты браўзер, які выпадкова ўвайшоў у працоўны ўліковы запіс.
Чаму запіс уліковага запісу не схаваць тунелем
Калі вы адкрываеце працоўную службу, яна запісвае сеанс на ўліковы запіс, які прайшоў аўтэнтыфікацыю. Маршрутызацыя праз VPN у іншай краіне змяняе адрас, які яна фіксуе; яна не выдаляе асобу, токен або запіс аўдыту. Прыватны прагляд таксама гэтага не мяняе, бо ён абмяжоўвае лакальны сеанс, а не пасведчанні, якія вы падаяце.
Арганізацыі ўсё часцей патрабуюць зацверджаны кліент і могуць блакаваць іншыя на шлюзе. Змагацца з гэтым — не стратэгія прыватнасці. Звычайна гэта зрывае праверку адпаведнасці, ламае патрэбную праграму і ставіць уліковы запіс пад рызыку дзеля выгады, якой ніколі не было.
Што рабіць з сімптомам
Пачніце там, дзе доказ танны. Адкрыйце chrome://policy і запішыце назвы палітык і іх крыніцу, потым chrome://management для стану рэгістрацыі. На macOS праверце Налады, Агульныя, Кіраванне прыладай; на Windows — Уліковыя запісы, Доступ да працы або школы. Гэтыя два экраны скажуць, ці кантроль на ўзроўні браўзера, прылады або проста ўліковага запісу, увайшоўшага недзе.
Потым вырашыце, чаго вы насамрэч хочаце. Калі прылада належыць кампаніі, кіраванне — гэта цана карыстання ёю, і VPN тут нічога не мяняе. Калі яна асабістая з працоўным профілем, дакументаваны працэс выдалення аддзяляе профіль і звычайна каштуе вам працоўнага доступу; менавіта гэты абмен і ёсць сапраўдным рашэннем, а не сервер, да якога вы падключаецеся.
Калі мэта — аддзяліць працу ад асабістага трафіку, аддзяляйце замест гэтага асобы. Другі профіль браўзера без працоўнага ўліковага запісу або другая прылада зробяць для гэтай мяжы больш, чым любы тунель, бо змяняюць тое, што ўсталявана, і тое, які ўліковы запіс прысутны.