Prohlížeč stále hlásí „Spravováno vaší organizací“ i s VPN?
Panel správy odráží zásady prohlížeče, ne vaši síťovou cestu. Podívejte se, která vrstva co zaznamenává a proč VPN nemůže změnit záznamy o zařízení ani o účtu.
Připojili jste VPN před dvěma hodinami a nabídka prohlížeče stále hlásí „Spravováno vaší organizací“. Nic se nezměnilo a nic se změnit nemělo. Ten panel ukazuje, jak je prohlížeč nakonfigurován, ne kam proudí jeho provoz.
Stejný vzorec se objevuje i jinde: agent v oznamovací oblasti, kterého jste nikdy neinstalovali, pracovní účet synchronizující soubory, výzva ke shodě po změně DNS. Každý patří jiné vrstvě a jen jedna z těch vrstev se zajímá o váš tunel.
Nejdřív zjistěte, na kterou vrstvu se díváte. Většina zmatení vzniká tím, že se skutečnost o správě zařízení a skutečnost o síťové trase berou jako jedna otázka.
Panel je příznak zásad
Chrome zobrazuje tento štítek, když se na profil vztahují podnikové zásady. Zásady přicházejí jako soubory nebo hodnoty registru vložené instalátorem, nebo přes zápis do cloudové správy svázaný s účtem. Ani jedna cesta se nedotýká síťového rozhraní.
Dvě interní stránky to vyřeší bez hádání. chrome://policy vypisuje každou uplatněnou zásadu, její hodnotu a zda pochází z platformy, nebo z cloudové správy. chrome://management hlásí, zda je prohlížeč spravován a v novějších verzích co ho spravuje. Pokud jsou zásady vypsané, je panel přesný a VPN s ním nemá nic společného.
Proto štítek přežije jiný server VPN, jiný DNS resolver i hotspot. Díváte se na konfigurační stav, který zůstává na disku.
Tři vrstvy, tři různé záznamy
Chyba je předpokládat jediného pozorovatele. V praxi existují nejméně tři a odpovídají na různé otázky.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Přečtěte třetí řádek dvakrát. VPN skryje vaši adresu před cílem, ale cíl už ví, kdo jste, protože jste se ověřili. Tunel přemístil provoz; neudělal účet anonymním.
Co zápis odhaluje a co ne
Microsoft zveřejňuje seznam pro uživatele k zápisu do Intune: model a název zařízení, operační systém a verzi, soupis aplikací a u osobních zařízení užší sadu. Stejná stránka jasně uvádí, že organizace nemůže vidět historii prohlížení, e-mail, hesla, fotografie ani obsah dokumentů jen prostřednictvím zápisu.
Tento limit patří Intune. Není to vlastnost slovního spojení spravované zařízení. Bezpečnostní agent koncového bodu, webová proxy ukončující TLS, rozšíření prohlížeče s přístupem k obsahu nebo klient pro prevenci úniku dat mohou sbírat víc a některé mnohem víc. Ptejte se, které produkty jsou nasazené, ne které slovo se objevuje v nabídce.
To je důležité oběma směry. Nepředpokládejte, že zápis dává úplnou viditelnost, ani že nedává žádnou. Poctivá odpověď je seznam produktů plus model zápisu: majetek firmy, vlastní zařízení s pracovním profilem, nebo osobní prohlížeč, který je náhodou přihlášený k pracovnímu účtu.
Proč záznam účtu nelze tunelovat pryč
Když otevřete pracovní službu, služba zaznamená relaci k účtu, který se ověřil. Směrování přes VPN v jiné zemi změní adresu, kterou zapisuje; neodstraní identitu, token ani auditní záznam. Anonymní prohlížení to také nemění, protože omezuje místní relaci, ne přihlašovací údaje, které předkládáte.
Organizace stále častěji vyžadují schváleného klienta a jiné mohou na bráně zablokovat. Bojovat s tím není strategie soukromí. Obvykle to pokazí kontrolu shody, rozbije povinnou aplikaci a vystaví účet riziku kvůli výhodě, která nikdy neexistovala.
Co s tím příznakem dělat
Začněte tam, kde je důkaz levný. Otevřete chrome://policy a poznamenejte názvy zásad a jejich zdroj, potom chrome://management pro stav zápisu. Na macOS zkontrolujte Nastavení, Obecné, Správa zařízení; na Windows Účty, Přístup k práci nebo škole. Tyto dvě obrazovky řeknou, zda je kontrola na úrovni prohlížeče, zařízení, nebo jen účtu přihlášeného kdesi.
Pak se rozhodněte, co vlastně chcete. Pokud zařízení patří firmě, správa je cena za jeho používání a VPN na tom nic nemění. Pokud je osobní s pracovním profilem, dokumentovaný postup odebrání profil odpojí a obvykle vás stojí pracovní přístup; tato výměna je skutečné rozhodnutí, ne server, ke kterému se připojujete.
Pokud je cílem oddělit práci od osobního provozu, oddělte místo toho identity. Druhý profil prohlížeče bez pracovního účtu nebo druhé zařízení udělá pro tuto hranici víc než jakýkoli tunel, protože mění, co je nainstalováno a který účet je přítomen.