Дали прелистувачот сè уште вели „Управувано од вашата организација“ со VPN?
Лентата за управување ја одразува политиката на прелистувачот, а не вашата мрежна рута. Видете кој слој што запишува и зошто VPN не може да ги промени записите за уредот или сметката.
Го поврзавте VPN пред два часа, а менито на прелистувачот сè уште вели дека е управувано од вашата организација. Ништо не се промени и ништо не требаше да се промени. Таа лента покажува како е конфигуриран прелистувачот, а не каде оди неговиот сообраќај.
Истата шема се појавува и на други места: агент во системската лента што никогаш не сте го инсталирале, работна сметка што синхронизира датотеки, барање за усогласеност откако сте го смениле DNS. Секое припаѓа на различен слој, а само еден од тие слоеви се грижи за вашиот тунел.
Прво утврдете на кој слој гледате. Најголемиот дел од конфузијата доаѓа од тоа што фактот за управување со уредот и фактот за мрежната рута се третираат како исто прашање.
Лентата е знаменце за политика
Chrome ја прикажува таа ознака кога на профилот се применуваат корпоративни политики. Политиките доаѓаат како датотеки или вредности во регистарот што ги поставува инсталатер, или преку запишување во облачно управување поврзано со сметка. Ниту еден од тие патишта не ја допира мрежната интерфејс.
Две внатрешни страници го решаваат тоа без нагаѓање. chrome://policy ги наведува сите применети политики, нивната вредност и дали доаѓаат од платформата или од облачното управување. chrome://management известува дали прелистувачот е управуван и, во понови верзии, што го управува. Ако политиките се наведени, лентата е точна и VPN нема никаква врска со неа.
Затоа ознаката опстојува со друг VPN сервер, друг DNS резолвер или hotspot. Гледате во конфигурациска состојба што останува на дискот.
Три слоја, три различни записи
Грешката е да се претпостави само еден набљудувач. Во практиката има најмалку три и тие одговараат на различни прашања.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Прочитајте го третиот ред двапати. VPN ја крие вашата адреса од одредиштето, но одредиштето веќе знае кој сте затоа што се автентициравте. Тунелот го премести сообраќајот; тој не ја направи сметката анонимна.
Што открива запишувањето, а што не
Microsoft објавува список наменет за корисниците за запишувањето во Intune: модел и име на уредот, оперативен систем и верзија, инвентар на апликации, а за уреди во лична сопственост потесен сет. Истата страница јасно вели дека организацијата не може да ја види историјата на прелистување, е-поштата, лозинките, фотографиите или содржината на документите само преку запишувањето.
Таа граница и припаѓа на Intune. Таа не е својство на изразот управуван уред. Агент за безбедност на крајни точки, веб-прокси што го завршува TLS, продолжување на прелистувачот со пристап до содржината или клиент за спречување на истекување на податоци можат секој да собираат повеќе, а некои многу повеќе. Прашајте кои производи се распоредени, а не кој збор се појавува во мени.
Ова е важно во двете насоки. Не претпоставувајте дека запишувањето дава целосна видливост, ниту дека не дава ништо. Искрениот одговор е список на производи плус модел на запишување: сопственост на компанијата, сопствен уред со работен профил или личен прелистувач што случајно е најавен на работна сметка.
Зошто записот на сметката не може да се сокрие со тунел
Кога отворате работна услуга, услугата ја запишува сесијата на сметката што се автентицирала. Рутирањето преку VPN во друга земја ја менува адресата што ја евидентира; не го отстранува идентитетот, токенот или записот за ревизија. Ни приватното прелистување не го менува тоа, бидејќи ограничува локална сесија, а не акредитивите што ги презентирате.
Организациите сè почесто бараат одобрен клиент и можат да блокираат други на порталот. Борбата против тоа не е стратегија за приватност. Обично прави проверката за усогласеност да не успее, ја крши потребната апликација и ја става сметката во ризик за корист што никогаш не постоела.
Што да правите со симптомот
Започнете таму каде доказот е евтин. Отворете chrome://policy и запишете ги имињата на политиките и нивниот извор, потоа chrome://management за состојбата на запишувањето. На macOS проверете Поставки, Општо, Управување со уред; на Windows Сметки, Пристап до работа или училиште. Овие два екрана ви кажуваат дали контролата е на ниво на прелистувач, на уред или само на сметка најавена некаде.
Потоа одлучете што навистина сакате. Ако уредот е сопственост на компанијата, управувањето е цената за негово користење и VPN не менува ништо во тоа. Ако е личен со работен профил, документираниот тек на отстранување го одвојува профилот и обично ве чини пристап до работа; таа размена е вистинската одлука, а не на кој сервер се поврзувате.
Ако целта е да се одвои работата од личниот сообраќај, одвојте ги идентитетите. Втор профил на прелистувач без работната сметка, или втор уред, прават повеќе за таа граница од кој и да е тунел, бидејќи менуваат што е инсталирано и која сметка е присутна.