ต่อ VPN แล้วเบราว์เซอร์ยังขึ้นว่าได้รับการจัดการโดยองค์กรของคุณอยู่หรือ
แบนเนอร์การจัดการสะท้อนนโยบายของเบราว์เซอร์ ไม่ใช่เส้นทางเครือข่ายของคุณ ดูว่าชั้นไหนบันทึกอะไร และทำไม VPN จึงเปลี่ยนข้อมูลอุปกรณ์หรือบัญชีไม่ได้
คุณเชื่อมต่อ VPN เมื่อสองชั่วโมงก่อน แต่เมนูเบราว์เซอร์ยังขึ้นว่าได้รับการจัดการโดยองค์กรของคุณ ไม่มีอะไรเปลี่ยน และก็ไม่ควรมีอะไรเปลี่ยน แบนเนอร์นั้นบอกว่าเบราว์เซอร์ถูกกำหนดค่าอย่างไร ไม่ได้บอกว่าทราฟฟิกไปที่ไหน
รูปแบบเดียวกันนี้ปรากฏที่อื่นด้วย: เอเจนต์ในถาดระบบที่คุณไม่เคยติดตั้ง บัญชีงานที่ซิงก์ไฟล์ ข้อความแจ้งการปฏิบัติตามข้อกำหนดหลังคุณเปลี่ยน DNS แต่ละอย่างอยู่คนละชั้น และมีเพียงชั้นเดียวเท่านั้นที่สนใจอุโมงค์ของคุณ
ก่อนอื่นให้ระบุว่าคุณกำลังดูชั้นไหน ความสับสนส่วนใหญ่เกิดจากการถือข้อเท็จจริงเรื่องการจัดการอุปกรณ์กับข้อเท็จจริงเรื่องเส้นทางเครือข่ายเป็นคำถามเดียวกัน
แบนเนอร์คือธงนโยบาย
Chrome แสดงป้ายนั้นเมื่อมีนโยบายองค์กรมีผลกับโปรไฟล์ นโยบายมาในรูปไฟล์หรือค่าทะเบียนที่ตัวติดตั้งวางไว้ หรือผ่านการลงทะเบียนการจัดการบนคลาวด์ที่ผูกกับบัญชี ไม่มีเส้นทางใดแตะต้องอินเทอร์เฟซเครือข่าย
หน้าภายในสองหน้าช่วยตัดสินได้โดยไม่ต้องเดา chrome://policy แสดงรายการนโยบายที่ใช้ทั้งหมด ค่าของนโยบาย และว่ามาจากแพลตฟอร์มหรือจากการจัดการบนคลาวด์ chrome://management รายงานว่าเบราว์เซอร์ถูกจัดการหรือไม่ และในเวอร์ชันใหม่ อะไรเป็นตัวจัดการ หากมีนโยบายแสดงอยู่ แบนเนอร์นั้นถูกต้อง และ VPN ไม่เกี่ยวข้องเลย
นั่นคือเหตุผลที่ป้ายนี้ยังอยู่เมื่อเปลี่ยนเซิร์ฟเวอร์ VPN ตัวแก้ DNS อื่น หรือฮอตสปอต คุณกำลังดูสถานะการกำหนดค่าที่คงอยู่ในดิสก์
สามชั้น สามบันทึกที่ต่างกัน
ข้อผิดพลาดคือ การสมมติว่ามีผู้สังเกตเพียงรายเดียว ในทางปฏิบัติมีอย่างน้อยสามราย และตอบคำถามคนละแบบ
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
อ่านแถวที่สามสองครั้ง VPN ซ่อนที่อยู่ของคุณจากปลายทาง แต่ปลายทางรู้แล้วว่าคุณเป็นใครเพราะคุณยืนยันตัวตนแล้ว อุโมงค์ย้ายทราฟฟิก แต่มันไม่ได้ทำให้บัญชีเป็นนิรนาม
การลงทะเบียนเปิดเผยอะไรและไม่เปิดเผยอะไร
Microsoft เผยแพร่รายการสำหรับผู้ใช้เกี่ยวกับการลงทะเบียน Intune: รุ่นและชื่ออุปกรณ์ ระบบปฏิบัติการและเวอร์ชัน รายการแอป และสำหรับอุปกรณ์ที่เป็นเจ้าของส่วนตัวมีชุดที่แคบกว่า หน้าเดียวกันระบุชัดเจนว่าองค์กรไม่สามารถดูประวัติการท่องเว็บ อีเมล รหัสผ่าน รูปภาพ หรือเนื้อหาเอกสารผ่านการลงทะเบียนเพียงอย่างเดียว
ขีดจำกัดนั้นเป็นของ Intune ไม่ใช่คุณสมบัติของคำว่าอุปกรณ์ที่ได้รับการจัดการ เอเจนต์ความปลอดภัยปลายทาง พร็อกซีเว็บที่สิ้นสุด TLS ส่วนขยายเบราว์เซอร์ที่เข้าถึงเนื้อหา หรือไคลเอนต์ป้องกันข้อมูลรั่วไหล แต่ละตัวเก็บได้มากกว่า และบางตัวมากกว่ามาก ถามว่าติดตั้งผลิตภัณฑ์อะไรไว้ ไม่ใช่คำใดปรากฏในเมนู
เรื่องนี้สำคัญทั้งสองทาง อย่าสมมติว่าการลงทะเบียนให้การมองเห็นเต็มที่ และอย่าสมมติว่าไม่ให้อะไรเลย คำตอบที่ซื่อสัตย์คือรายการผลิตภัณฑ์บวกโมเดลการลงทะเบียน: ทรัพย์สินของบริษัท อุปกรณ์ส่วนตัวที่มีโปรไฟล์งาน หรือเบราว์เซอร์ส่วนตัวที่บังเอิญลงชื่อเข้าใช้บัญชีงาน
ทำไมบันทึกของบัญชีจึงซ่อนด้วยอุโมงค์ไม่ได้
เมื่อคุณเปิดบริการงาน บริการจะบันทึกเซสชันไว้กับบัญชีที่ยืนยันตัวตน การกำหนดเส้นทางผ่าน VPN ในประเทศอื่นเปลี่ยนที่อยู่ที่บันทึก แต่ไม่ได้ลบตัวตน โทเคน หรือรายการตรวจสอบ การท่องเว็บส่วนตัวก็ไม่เปลี่ยนเช่นกัน เพราะจำกัดเซสชันภายในเครื่อง ไม่ใช่ข้อมูลรับรองที่คุณแสดง
องค์กรต่างๆ ต้องการไคลเอนต์ที่ได้รับอนุมัติมากขึ้น และอาจบล็อกตัวอื่นที่เกตเวย์ การต่อสู้กับเรื่องนี้ไม่ใช่กลยุทธ์ความเป็นส่วนตัว มักทำให้การตรวจสอบการปฏิบัติตามล้มเหลว ทำให้แอปที่จำเป็นเสีย และเสี่ยงบัญชีเพื่อประโยชน์ที่ไม่เคยมีอยู่
ควรทำอย่างไรกับอาการนี้
เริ่มจากที่ที่หลักฐานมีต้นทุนต่ำ เปิด chrome://policy แล้วจดชื่อนโยบายและแหล่งที่มา จากนั้นดู chrome://management สำหรับสถานะการลงทะเบียน บน macOS ดูการตั้งค่า ทั่วไป การจัดการอุปกรณ์ บน Windows ดูบัญชี การเข้าถึงที่ทำงานหรือโรงเรียน สองหน้าจอนี้บอกคุณว่าการควบคุมอยู่ระดับเบราว์เซอร์ อุปกรณ์ หรือเพียงบัญชีที่ลงชื่อเข้าใช้อยู่ที่ใดที่หนึ่ง
จากนั้นตัดสินใจว่าคุณต้องการอะไรจริงๆ หากอุปกรณ์เป็นของบริษัท การจัดการคือราคาของการใช้งาน และ VPN ไม่เปลี่ยนสิ่งนั้น หากเป็นอุปกรณ์ส่วนตัวที่มีโปรไฟล์งาน กระบวนการถอดออกที่บันทึกไว้จะแยกโปรไฟล์ออก และปกติทำให้คุณเสียการเข้าถึงงาน การแลกเปลี่ยนนั้นคือการตัดสินใจจริง ไม่ใช่เซิร์ฟเวอร์ที่คุณเชื่อมต่อ
หากเป้าหมายคือแยกงานออกจากทราฟฟิกส่วนตัว ให้แยกตัวตนแทน โปรไฟล์เบราว์เซอร์ที่สองที่ไม่มีบัญชีงาน หรืออุปกรณ์เครื่องที่สอง ทำเพื่อขอบเขตนั้นได้มากกว่าอุโมงค์ใดๆ เพราะมันเปลี่ยนสิ่งที่ติดตั้งไว้และบัญชีใดที่อยู่