Zegt de browser nog steeds ‘Beheerd door uw organisatie’ met een VPN?
De beheerbalk weerspiegelt browserbeleid, niet je netwerkpad. Zie welke laag wat vastlegt en waarom een VPN apparaat- of accountgegevens niet kan wijzigen.
Je hebt de VPN twee uur geleden verbonden en het browsermenu zegt nog steeds Beheerd door uw organisatie. Er is niets veranderd, en er zou niets veranderen. Die balk laat zien hoe de browser is geconfigureerd, niet waar het verkeer naartoe gaat.
Hetzelfde patroon duikt elders op: een agent in het systeemvak die je nooit hebt geïnstalleerd, een werkaccount dat bestanden synchroniseert, een compliancemelding nadat je DNS hebt gewijzigd. Elk hoort bij een andere laag, en slechts één van die lagen geeft om je tunnel.
Bepaal eerst naar welke laag je kijkt. De meeste verwarring ontstaat doordat een feit over apparaatbeheer en een feit over de netwerkroute als dezelfde vraag worden behandeld.
De balk is een beleidsmarkering
Chrome toont dat label wanneer bedrijfsbeleid op het profiel van toepassing is. Het beleid komt binnen als bestanden of registerwaarden die een installatieprogramma plaatst, of via inschrijving bij cloudbeheer dat aan een account is gekoppeld. Geen van die routes raakt de netwerkinterface.
Twee interne pagina’s beslechten het zonder giswerk. chrome://policy somt elk toegepast beleid op, de waarde ervan en of het van het platform of van cloudbeheer komt. chrome://management meldt of de browser wordt beheerd en, in recente versies, wat hem beheert. Staat er beleid in de lijst, dan is de balk juist en doet een VPN er niet toe.
Daarom overleeft het label een andere VPN-server, een andere DNS-resolver of een hotspot. Je kijkt naar een configuratiestatus die op de schijf blijft staan.
Drie lagen, drie verschillende registraties
De fout is aannemen dat er één waarnemer is. In de praktijk zijn het er minstens drie, en ze beantwoorden verschillende vragen.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Lees de derde rij twee keer. Een VPN verbergt je adres voor de bestemming, maar de bestemming weet al wie je bent omdat je je hebt aangemeld. De tunnel verplaatste het verkeer; hij maakte het account niet anoniem.
Wat inschrijving wel en niet onthult
Microsoft publiceert een lijst voor gebruikers over inschrijving bij Intune: apparaatmodel en naam, besturingssysteem en versie, app-inventaris en voor apparaten in persoonlijk bezit een smaller geheel. Dezelfde pagina zegt duidelijk dat de organisatie via inschrijving alleen geen browsegeschiedenis, e-mail, wachtwoorden, foto’s of de inhoud van documenten kan zien.
Die grens hoort bij Intune. Het is geen eigenschap van de uitdrukking beheerd apparaat. Een endpointbeveiligingsagent, een webproxy die TLS beëindigt, een browserextensie met toegang tot inhoud of een client tegen gegevensverlies kunnen elk meer verzamelen, en sommige veel meer. Vraag welke producten zijn uitgerold, niet welk woord in een menu staat.
Dit geldt beide kanten op. Ga er niet van uit dat inschrijving volledige zichtbaarheid geeft, en ook niet dat het niets geeft. Het eerlijke antwoord is een productlijst plus een inschrijvingsmodel: eigendom van het bedrijf, een eigen apparaat met werkprofiel of een persoonlijke browser die toevallig op een werkaccount is aangemeld.
Waarom het accountrecord niet kan worden weggtunneld
Wanneer je een werkdienst opent, registreert de dienst de sessie bij het account dat zich heeft aangemeld. Routering via een VPN in een ander land verandert het adres dat hij vastlegt; het verwijdert de identiteit, het token of de auditregel niet. Privé browsen verandert dit ook niet, want het beperkt een lokale sessie, niet de inloggegevens die je presenteert.
Organisaties eisen steeds vaker een goedgekeurde client en kunnen andere bij de gateway blokkeren. Daartegen vechten is geen privacy-strategie. Het laat meestal een compliancecontrole mislukken, breekt een vereiste toepassing en zet het account op het spel voor een voordeel dat nooit bestond.
Wat je met het symptoom doet
Begin waar het bewijs goedkoop is. Open chrome://policy en noteer de beleidsnamen en hun bron, daarna chrome://management voor de inschrijvingsstatus. Op macOS kijk je bij Instellingen, Algemeen, Apparaatbeheer; op Windows bij Accounts, Toegang tot werk of school. Die twee schermen vertellen of de controle op browserniveau, apparaatniveau of alleen op een ergens aangemeld account zit.
Beslis daarna wat je echt wilt. Is het apparaat van het bedrijf, dan is het beheer de prijs van het gebruik en verandert de VPN daar niets aan. Is het persoonlijk met een werkprofiel, dan ontkoppelt de gedocumenteerde verwijderingsprocedure het profiel en kost je dat meestal de werktoegang; die ruil is de echte beslissing, niet de server waarmee je verbindt.
Als het doel is werk van persoonlijk verkeer te scheiden, scheid dan de identiteiten. Een tweede browserprofiel zonder het werkaccount, of een tweede apparaat, doet meer voor die grens dan welke tunnel ook, omdat het verandert wat er is geïnstalleerd en welk account aanwezig is.