Pelayan pelayar masih kata Dikendalikan oleh organisasi anda walaupun guna VPN?
Sepanduk terurus mencerminkan dasar pelayar, bukan laluan rangkaian anda. Lihat lapisan mana merekod apa, dan mengapa VPN tidak boleh mengubah rekod peranti atau akaun.
Anda menyambung VPN dua jam lalu dan menu pelayar masih tertulis Dikendalikan oleh organisasi anda. Tiada apa yang berubah, dan tiada apa yang sepatutnya berubah. Sepanduk itu menunjukkan cara pelayar dikonfigurasikan, bukan ke mana trafiknya pergi.
Corak yang sama muncul di tempat lain: ejen dalam dulang sistem yang tidak pernah anda pasang, akaun kerja yang menyegerakkan fail, gesaan pematuhan selepas anda menukar DNS. Setiap satu tergolong dalam lapisan berbeza, dan hanya satu lapisan itu yang endah tentang terowong anda.
Tentukan dahulu lapisan mana yang anda lihat. Kebanyakan kekeliruan datang daripada menganggap fakta pengurusan peranti dan fakta laluan rangkaian sebagai soalan yang sama.
Sepanduk itu bendera dasar
Chrome memaparkan label itu apabila dasar perusahaan terpakai pada profil. Dasar tersebut datang sebagai fail atau nilai registri yang diletakkan oleh pemasang, atau melalui pendaftaran pengurusan awan yang terikat pada akaun. Tiada satu pun laluan itu menyentuh antara muka rangkaian.
Dua halaman dalaman menyelesaikannya tanpa meneka. chrome://policy menyenaraikan setiap dasar yang digunakan, nilainya dan sama ada ia datang dari platform atau pengurusan awan. chrome://management melaporkan sama ada pelayar diurus dan, pada versi terbaharu, apa yang mengurusnya. Jika dasar tersenarai, sepanduk itu tepat dan VPN tidak berkaitan dengannya.
Itulah sebabnya label itu kekal dengan pelayan VPN lain, penyelesai DNS lain atau hotspot. Anda melihat keadaan konfigurasi yang kekal pada cakera.
Tiga lapisan, tiga rekod berbeza
Kesilapannya ialah menganggap hanya ada satu pemerhati. Pada praktiknya ada sekurang-kurangnya tiga, dan mereka menjawab soalan berbeza.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Baca baris ketiga dua kali. VPN menyembunyikan alamat anda daripada destinasi, tetapi destinasi sudah tahu siapa anda kerana anda mengesahkan identiti. Terowong mengalihkan trafik; ia tidak menjadikan akaun itu tanpa nama.
Apa yang didedahkan pendaftaran dan apa yang tidak
Microsoft menerbitkan senarai untuk pengguna tentang pendaftaran Intune: model dan nama peranti, sistem pengendalian dan versi, inventori aplikasi, dan bagi peranti milik peribadi satu set yang lebih sempit. Halaman yang sama menyatakan dengan jelas bahawa organisasi tidak boleh melihat sejarah pelayaran, e-mel, kata laluan, foto atau kandungan dokumen melalui pendaftaran semata-mata.
Had itu milik Intune. Ia bukan sifat frasa peranti terurus. Ejen keselamatan titik akhir, proksi web yang menamatkan TLS, sambungan pelayar dengan akses kandungan, atau klien pencegahan kebocoran data masing-masing boleh mengumpul lebih banyak, dan sesetengahnya jauh lebih banyak. Tanya produk apa yang digunakan, bukan perkataan apa yang muncul dalam menu.
Ini penting dalam kedua-dua arah. Jangan anggap pendaftaran memberi keterlihatan penuh, dan jangan anggap ia tidak memberi apa-apa. Jawapan jujur ialah senarai produk serta model pendaftaran: milik syarikat, peranti sendiri dengan profil kerja, atau pelayar peribadi yang kebetulan log masuk ke akaun kerja.
Mengapa rekod akaun tidak boleh disembunyikan dengan terowong
Apabila anda membuka perkhidmatan kerja, perkhidmatan merekod sesi pada akaun yang mengesahkan identiti. Penghalaan melalui VPN di negara lain mengubah alamat yang direkodkannya; ia tidak membuang identiti, token atau entri audit. Pelayaran peribadi juga tidak mengubahnya, kerana ia mengehadkan sesi setempat, bukan kelayakan yang anda kemukakan.
Organisasi semakin memerlukan klien yang diluluskan dan boleh menyekat yang lain di gateway. Melawannya bukan strategi privasi. Ia biasanya menggagalkan pemeriksaan pematuhan, merosakkan aplikasi yang diperlukan dan meletakkan akaun dalam risiko demi manfaat yang tidak pernah wujud.
Apa yang perlu dilakukan dengan gejala itu
Mulakan di tempat bukti itu murah. Buka chrome://policy dan catat nama dasar serta sumbernya, kemudian chrome://management untuk keadaan pendaftaran. Pada macOS periksa Tetapan, Umum, Pengurusan Peranti; pada Windows Akaun, Akses kerja atau sekolah. Kedua-dua skrin itu memberitahu sama ada kawalan itu pada peringkat pelayar, peranti atau hanya akaun yang log masuk di suatu tempat.
Kemudian putuskan apa yang sebenarnya anda mahu. Jika peranti itu milik syarikat, pengurusan ialah harga penggunaannya dan VPN tidak mengubah apa-apa tentangnya. Jika ia peribadi dengan profil kerja, aliran pembuangan yang didokumenkan memisahkan profil itu dan biasanya merugikan anda akses kerja; pertukaran itulah keputusan sebenar, bukan pelayan mana yang anda sambung.
Jika matlamatnya memisahkan kerja daripada trafik peribadi, pisahkan identiti. Profil pelayar kedua tanpa akaun kerja, atau peranti kedua, berbuat lebih banyak untuk sempadan itu daripada mana-mana terowong, kerana ia mengubah apa yang dipasang dan akaun mana yang hadir.