Seier nettlesaren framleis «Administrert av organisasjonen din» med VPN?
Administrasjonsbanneret speglar nettlesarpolitikken, ikkje nettverksvegen din. Sjå kva lag som registrerer kva, og kvifor ein VPN ikkje kan endre eining- eller kontoopplysningar.
Du kopla til VPN for to timar sidan, og nettlesarmenyen seier framleis at han blir administrert av organisasjonen din. Ingenting endra seg, og ingenting skulle endre seg. Banneret viser korleis nettlesaren er sett opp, ikkje kvar trafikken går.
Same mønster dukkar opp andre stader: ein agent i systemstatusfeltet du aldri installerte, ein jobbkonto som synkroniserer filer, ei samsvarsførespurnad etter at du bytta DNS. Kvar av dei høyrer til eit ulikt lag, og berre eitt av desse laga bryr seg om tunnelen din.
Finn først ut kva lag du ser på. Mesteparten av forvirringa kjem av å handsame eit faktum om einingadministrasjon og eit faktum om nettverksrute som same spørsmål.
Banneret er eit policyflagg
Chrome viser denne etiketten når bedriftspolicyar gjeld for profilen. Policyane kjem som filer eller registerverdiar plasserte av eit installasjonsprogram, eller gjennom skyadministrasjonsregistrering knytt til ein konto. Ingen av vegane rører nettverksgrensesnittet.
To interne sider avgjer saka utan gjetting. chrome://policy listar kvar brukt policy, verdien og om han kjem frå plattforma eller frå skyadministrasjon. chrome://management rapporterer om nettlesaren blir administrert og, på nyare versjonar, kva som administrerer han. Viss policyar er lista, er banneret riktig og ein VPN er irrelevant for det.
Difor overlever etiketten ein annan VPN-server, ein annan DNS-resolvar eller eit hotspot. Du ser på ein konfigurasjonstilstand som blir liggjande på disken.
Tre lag, tre ulike registreringar
Feilen er å tru at det berre finst ein observatør. I praksis finst det minst tre, og dei svarar på ulike spørsmål.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Les tredje rad to gonger. Ein VPN gøymer adressa di for målet, men målet veit allereie kven du er fordi du autentiserte deg. Tunnelen flytta trafikken; han gjorde ikkje kontoen anonym.
Kva registreringa avdekkjer og ikkje
Microsoft publiserer ei brukarretta liste om Intune-registrering: einingsmodell og namn, operativsystem og versjon, appinventar, og for personleg eigde einingar eit snevrare sett. Same sida seier klart at organisasjonen ikkje kan sjå nettlesarhistorikk, e-post, passord, bilete eller innhaldet i dokument berre gjennom registreringa.
Denne grensa høyrer til Intune. Ho er ikkje ein eigenskap ved uttrykket styrt eining. Ein endepunktstryggleiksagent, ein nettproxy som avsluttar TLS, ei nettlesarutviding med innhaldstilgang eller ein klient mot datalekkasjar kan kvar samle meir, og nokre mykje meir. Spør kva produkt som er sette ut, ikkje kva ord som visest i ein meny.
Dette gjeld i begge retningar. Ikkje gå ut frå at registreringa gir full innsikt, og ikkje at ho ikkje gir noko. Det ærlege svaret er ei produktliste pluss ein registreringsmodell: firmaeigd, eiga eining med arbeidsprofil eller ein personleg nettlesar som tilfeldigvis er pålogga ein jobbkonto.
Kvifor kontoopplysningane ikkje kan gøymast med ein tunnel
Når du opnar ein jobbteneste, registrerer tenesta økta på kontoen som autentiserte seg. Ruting gjennom ein VPN i eit anna land endrar adressa ho loggar; ho fjernar ikkje identiteten, tokenet eller revisjonsposten. Privat nettlesing endrar heller ikkje dette, sidan ho avgrensar ei lokal økt, ikkje påloggingsinformasjonen du legg fram.
Organisasjonar krev stadig oftare ein godkjend klient og kan blokkere andre ved gatewayen. Å kjempe mot dette er ikkje ein personvernstrategi. Det får vanlegvis ein samsvarskontroll til å feile, øydelegg ein påkravd applikasjon og set kontoen i fare for ein fordel som aldri har funnest.
Kva du gjer med symptomet
Start der provet er billeg. Opne chrome://policy og noter policynamna og kjelda deira, deretter chrome://management for registreringstilstanden. På macOS sjå Innstillingar, Generelt, Einingadministrasjon; på Windows Kontoar, Tilgang til arbeid eller skule. Desse to skjermane fortel om kontrollen er på nettlesar-, eining- eller berre kontonivå.
Avgjer så kva du eigentleg vil. Er eininga firmaeigd, er administrasjonen prisen for å bruke ho, og VPN endrar ingenting ved det. Er ho personleg med arbeidsprofil, koplar den dokumenterte fjerningsprosessen frå profilen og kostar deg vanlegvis jobbtilgang; den bytehandelen er den reelle avgjerda, ikkje kva server du koplar til.
Viss målet er å skilje arbeid frå personleg trafikk, skil identitetane i staden. Ein andre nettlesarprofil utan jobbkontoen, eller ei andre eining, gjer meir for den grensa enn nokon tunnel, fordi det endrar kva som er installert og kva konto som er til stades.