Ĉu la retumilo ankoraŭ diras «Administrata de via organizo» kun VPN?
La administra bendo montras retumilan politikon, ne vian retan vojon. Vidu, kiu tavolo registras kion, kaj kial VPN ne povas ŝanĝi aparatajn aŭ kontajn registraĵojn.
Vi konektis la VPN antaŭ du horoj, kaj la retumila menuo ankoraŭ diras «Administrata de via organizo». Nenio ŝanĝiĝis, kaj nenio devis ŝanĝiĝi. Tiu bendo raportas, kiel la retumilo estas agordita, ne kien iras ĝia trafiko.
La sama ŝablono aperas aliloke: agento en la sistemopleto, kiun vi neniam instalis, labora konto sinkroniganta dosierojn, konformiga invito post kiam vi ŝanĝis DNS. Ĉiu apartenas al malsama tavolo, kaj nur unu el tiuj tavoloj zorgas pri via tunelo.
Unue klarigu, kiun tavolon vi rigardas. La plej multa konfuzo venas de tio, ke fakto pri aparatadministrado kaj fakto pri reta vojo estas traktataj kiel la sama demando.
La bendo estas politika flageto
Chrome montras tiun etikedon, kiam entreprenaj politikoj validas por la profilo. La politikoj alvenas kiel dosieroj aŭ registraj valoroj metitaj de instalilo, aŭ per nuba administra aliĝo ligita al konto. Neniu el tiuj vojoj tuŝas la retan interfacon.
Du internaj paĝoj solvas tion sen konjektado. chrome://policy listigas ĉiun aplikatan politikon, ĝian valoron kaj ĉu ĝi venas de la platformo aŭ de nuba administrado. chrome://management raportas, ĉu la retumilo estas administrata kaj, en lastatempaj versioj, kio administras ĝin. Se politikoj estas listigitaj, la bendo estas ĝusta kaj VPN ne rilatas al ĝi.
Tial la etikedo postvivas alian VPN-servilon, alian DNS-eligilon aŭ hotspot-on. Vi rigardas agordan staton, kiu restas sur la disko.
Tri tavoloj, tri malsamaj registraĵoj
La eraro estas supozi nur unu observanton. Praktike ekzistas almenaŭ tri, kaj ili respondas al malsamaj demandoj.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Legi la trian vicon dufoje. VPN kaŝas vian adreson de la celo, sed la celo jam scias, kiu vi estas, ĉar vi aŭtentikigis vin. La tunelo movis la trafikon; ĝi ne igis la konton anonima.
Kion la aliĝo malkaŝas kaj kion ne
Microsoft publikigas poruzantan liston pri aliĝo al Intune: aparata modelo kaj nomo, operaciumo kaj versio, aplikara inventaro, kaj por persone posedataj aparatoj pli mallarĝa aro. La sama paĝo klare diras, ke la organizo ne povas vidi retuman historion, retpoŝton, pasvortojn, fotojn aŭ dokumentan enhavon nur per la aliĝo.
Tiu limo apartenas al Intune. Ĝi ne estas eco de la esprimo administrata aparato. Sekureca agento de finpunktoj, reta prokura servilo finanta TLS, retumila kromaĵo kun enhava aliro aŭ kliento por malhelpi datuman perdon povas ĉiu kolekti pli, kaj kelkaj multe pli. Demandu, kiuj produktoj estas enkondukitaj, ne kiu vorto aperas en menuo.
Tio gravas en ambaŭ direktoj. Ne supozu, ke aliĝo donas plenan videblecon, kaj ne supozu, ke ĝi donas neniom. La honesta respondo estas produkta listo plus aliĝa modelo: firmaa proprieto, via propra aparato kun labora profilo, aŭ persona retumilo, kiu hazarde estas ensalutinta al labora konto.
Kial la konta registraĵo ne kaŝeblas per tunelo
Kiam vi malfermas laboran servon, la servo registras la seancon sub la konto, kiu aŭtentikigis. Enkursigo tra VPN en alia lando ŝanĝas la adreson, kiun ĝi protokolas; ĝi ne forigas la identecon, la ĵetonon aŭ la reviziaĵon. Privata retumado tion ankaŭ ne ŝanĝas, ĉar ĝi limigas lokan seancon, ne la legitimilojn, kiujn vi prezentas.
Organizoj ĉiam pli postulas aprobitan klienton kaj povas bloki aliajn ĉe la enirejo. Batali kontraŭ tio ne estas privateca strategio. Ĝi kutime malsukcesigas konformigan kontrolon, rompas postulatan aplikaĵon kaj endanĝerigas la konton por avantaĝo, kiu neniam ekzistis.
Kion fari pri la simptomo
Komencu tie, kie la pruvo estas malmultekosta. Malfermu chrome://policy kaj notu la politikajn nomojn kaj ilian fonton, poste chrome://management por la aliĝa stato. En macOS kontrolu Agordoj, Ĝeneralaj, Aparatadministrado; en Windows Kontoj, Aliro al laboro aŭ lernejo. Tiuj du ekranoj diras al vi, ĉu la kontrolo estas ĉe retumila, aparata aŭ nur konta nivelo.
Poste decidu, kion vi vere volas. Se la aparato estas firmaa, la administrado estas la prezo de ĝia uzo kaj VPN ŝanĝas nenion pri tio. Se ĝi estas persona kun labora profilo, la dokumentita foriga procezo malligas la profilon kaj kutime kostas al vi laboran aliron; tiu interŝanĝo estas la vera decido, ne la servilo, al kiu vi konektas.
Se la celo estas apartigi laboron de persona trafiko, apartigu anstataŭe la identecojn. Dua retumila profilo sen la labora konto, aŭ dua aparato, faras pli por tiu limo ol iu ajn tunelo, ĉar ĝi ŝanĝas, kio estas instalita kaj kiu konto ĉeestas.