Säger webbläsaren fortfarande att den hanteras av din organisation med VPN?
Hanteringsbanderollen speglar webbläsarens policy, inte din nätverksväg. Se vilket lager som registrerar vad och varför ett VPN inte kan ändra enhetens eller kontots uppgifter.
Du anslöt VPN för två timmar sedan och webbläsarmenyn säger fortfarande att den hanteras av din organisation. Ingenting förändrades, och ingenting skulle förändras. Banderollen visar hur webbläsaren är konfigurerad, inte vart dess trafik tar vägen.
Samma mönster dyker upp på andra ställen: en agent i aktivitetsfältet som du aldrig installerade, ett arbetskonto som synkroniserar filer, en efterlevnadsprompt efter att du bytt DNS. Var och en hör till ett annat lager, och bara ett av dessa lager bryr sig om din tunnel.
Ta först reda på vilket lager du tittar på. Det mesta av förvirringen kommer av att behandla ett faktum om enhetshantering och ett faktum om nätverksväg som samma fråga.
Banderollen är en policyflagga
Chrome visar den etiketten när företagspolicyer gäller för profilen. Policyerna kommer som filer eller registervärden som ett installationsprogram placerar, eller genom molnhanteringsregistrering kopplad till ett konto. Ingen av vägarna rör nätverksgränssnittet.
Två interna sidor avgör saken utan gissningar. chrome://policy listar varje tillämpad policy, dess värde och om den kommer från plattformen eller från molnhanteringen. chrome://management rapporterar om webbläsaren hanteras och, i nyare versioner, vad som hanterar den. Om policyer listas är banderollen korrekt och ett VPN saknar betydelse för den.
Därför överlever etiketten en annan VPN-server, en annan DNS-resolver eller en hotspot. Du tittar på ett konfigurationstillstånd som ligger kvar på disken.
Tre lager, tre olika register
Felet är att anta en enda observatör. I praktiken finns minst tre, och de svarar på olika frågor.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Läs tredje raden två gånger. Ett VPN döljer din adress för destinationen, men destinationen vet redan vem du är eftersom du autentiserade dig. Tunneln flyttade trafiken; den gjorde inte kontot anonymt.
Vad registreringen avslöjar och inte
Microsoft publicerar en användarinriktad lista om Intune-registrering: enhetsmodell och namn, operativsystem och version, appinventering och för personligt ägda enheter en snävare uppsättning. Samma sida säger tydligt att organisationen inte kan se webbläsarhistorik, e-post, lösenord, foton eller dokumentinnehåll enbart genom registreringen.
Den gränsen tillhör Intune. Den är inte en egenskap hos uttrycket hanterad enhet. En säkerhetsagent för slutpunkter, en webbproxy som avslutar TLS, ett webbläsartillägg med innehållsåtkomst eller en klient mot dataläckage kan var och en samla in mer, och vissa mycket mer. Fråga vilka produkter som är utplacerade, inte vilket ord som syns i en meny.
Detta spelar roll åt båda hållen. Anta inte att registreringen ger full insyn, och inte heller att den inte ger någon. Det ärliga svaret är en produktlista plus en registreringsmodell: företagsägd, egen enhet med arbetsprofil eller en personlig webbläsare som råkar vara inloggad på ett arbetskonto.
Varför kontouppgifterna inte kan tunnlas bort
När du öppnar en arbetstjänst registrerar tjänsten sessionen på det konto som autentiserade sig. Routning genom ett VPN i ett annat land ändrar adressen den loggar; den tar inte bort identiteten, token eller granskningsposten. Privat surfning ändrar inte detta heller, eftersom den begränsar en lokal session, inte de uppgifter du presenterar.
Organisationer kräver allt oftare en godkänd klient och kan blockera andra vid gatewayen. Att kämpa mot det är ingen integritetsstrategi. Det får vanligtvis en efterlevnadskontroll att misslyckas, bryter en nödvändig applikation och utsätter kontot för risk för en fördel som aldrig funnits.
Vad du gör med symtomet
Börja där beviset är billigt. Öppna chrome://policy och anteckna policynamnen och deras källa, sedan chrome://management för registreringsstatusen. På macOS kontrollera Inställningar, Allmänt, Enhetshantering; på Windows Konton, Åtkomst till arbete eller skola. Dessa två skärmar berättar om kontrollen ligger på webbläsar-, enhets- eller bara kontonivå.
Bestäm sedan vad du egentligen vill. Om enheten är företagsägd är hanteringen priset för att använda den, och VPN ändrar ingenting där. Om den är personlig med arbetsprofil kopplar det dokumenterade borttagningsflödet loss profilen och kostar dig vanligtvis arbetsåtkomst; den byteshandeln är det verkliga beslutet, inte vilken server du ansluter till.
Om målet är att skilja arbete från personlig trafik, skilj i stället identiteterna. En andra webbläsarprofil utan arbetskontot, eller en andra enhet, gör mer för den gränsen än någon tunnel, eftersom det ändrar vad som är installerat och vilket konto som finns.