Siger browseren stadig Styrer din organisation med VPN?
Administrationsbanneret afspejler browserpolitik, ikke din netværksrute. Se hvilket lag der registrerer hvad, og hvorfor en VPN ikke kan ændre enhedens eller kontoens registreringer.
Du tilsluttede VPN for to timer siden, og browsermenuen siger stadig Styrer din organisation. Intet ændrede sig, og intet skulle ændre sig. Banneret viser, hvordan browseren er konfigureret, ikke hvor dens trafik går hen.
Samme mønster dukker op andre steder: en agent i proceslinjen, du aldrig har installeret, en arbejdskonto der synkroniserer filer, en overensstemmelsesprompt efter du skiftede DNS. Hver af dem hører til et forskelligt lag, og kun ét af de lag bekymrer sig om din tunnel.
Find først ud af, hvilket lag du kigger på. Det meste forvirring kommer af at behandle en kendsgerning om enhedsstyring og en kendsgerning om netværksrute som det samme spørgsmål.
Banneret er et politikflag
Chrome viser den etiket, når virksomhedspolitikker gælder for profilen. Politikkerne kommer som filer eller registreringsværdier anbragt af et installationsprogram, eller gennem cloud-administrationsregistrering knyttet til en konto. Ingen af vejene rører netværksinterfacet.
To interne sider afgør sagen uden gætværk. chrome://policy viser hver anvendt politik, dens værdi og om den stammer fra platformen eller fra cloud-administration. chrome://management viser, om browseren administreres, og i nyere versioner hvad der administrerer den. Hvis der står politikker, er banneret korrekt, og en VPN er irrelevant for det.
Derfor overlever etiketten en anden VPN-server, en anden DNS-resolver eller et hotspot. Du ser på konfigurationstilstand, der bliver liggende på disken.
Tre lag, tre forskellige registreringer
Fejlen er at antage én observatør. I praksis findes mindst tre, og de svarer på forskellige spørgsmål.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Læs tredje række to gange. En VPN skjuler din adresse for destinationen, men destinationen ved allerede, hvem du er, fordi du godkendte dig. Tunnelen flyttede trafikken; den gjorde ikke kontoen anonym.
Hvad registrering afslører, og hvad den ikke gør
Microsoft offentliggør en brugervendt liste til Intune-registrering: enhedsmodel og navn, styresystem og version, applikationsoversigt og for personligt ejede enheder et snævrere sæt. Samme side siger klart, at organisationen ikke kan se browserhistorik, e-mail, adgangskoder, billeder eller dokumentindhold alene gennem registreringen.
Den grænse tilhører Intune. Den er ikke en egenskab ved udtrykket administreret enhed. En slutpunktsikkerhedsagent, en webproxy der afslutter TLS, en browserudvidelse med indholdsadgang eller en klient mod datatab kan hver indsamle mere, og nogle meget mere. Spørg, hvilke produkter der er udrullet, ikke hvilket ord der står i en menu.
Det betyder noget i begge retninger. Antag ikke, at registrering giver fuld synlighed, og antag ikke, at den giver ingen. Det ærlige svar er en produktliste plus en registreringsmodel: virksomhedsejet, din egen med en arbejdsprofil eller en personlig browser, der tilfældigt er logget ind på en arbejdskonto.
Hvorfor kontoens registrering ikke kan skjules med en tunnel
Når du åbner en arbejdstjeneste, registrerer tjenesten sessionen på den konto, der godkendte sig. Routning gennem en VPN i et andet land ændrer den adresse, den logger; det fjerner ikke identiteten, tokenet eller revisionsposten. Privat browsing ændrer det heller ikke, da den begrænser en lokal session, ikke de legitimationsoplysninger, du fremviser.
Organisationer kræver i stigende grad en godkendt klient og kan blokere andre ved gatewayen. At kæmpe imod det er ikke en privatlivsstrategi. Det får som regel en overensstemmelseskontrol til at fejle, ødelægger en påkrævet applikation og sætter kontoen på spil for en fordel, der aldrig har eksisteret.
Hvad du gør ved symptomet
Begynd der, hvor beviset er billigt. Åbn chrome://policy og notér politiknavnene og deres kilde, derefter chrome://management for registreringstilstanden. På macOS se Indstillinger, Generelt, Enhedsstyring; på Windows Konti, Adgang til arbejde eller skole. De to skærme fortæller, om kontrollen er på browser-, enheds- eller blot kontoniveau.
Beslut derefter, hvad du egentlig vil. Er enheden virksomhedsejet, er styringen prisen for at bruge den, og VPN ændrer intet ved det. Er den personlig med en arbejdsprofil, kobler den dokumenterede fjernelsesproces profilen af og koster dig normalt arbejdsadgang; den byttehandel er den reelle beslutning, ikke hvilken server du forbinder til.
Hvis målet er at adskille arbejde fra personlig trafik, så adskil identiteterne i stedet. En anden browserprofil uden arbejdskontoen eller en anden enhed gør mere for den grænse end nogen tunnel, fordi det ændrer, hvad der er installeret, og hvilken konto der er til stede.