Trình duyệt vẫn báo «Được quản lý bởi tổ chức của bạn» dù đã bật VPN?
Biểu ngữ quản lý phản ánh chính sách của trình duyệt, không phải đường mạng của bạn. Xem tầng nào ghi lại điều gì và vì sao VPN không thể thay đổi hồ sơ thiết bị hay tài khoản.
Bạn đã kết nối VPN hai giờ trước và menu trình duyệt vẫn ghi là được quản lý bởi tổ chức của bạn. Không có gì thay đổi, và lẽ ra cũng không có gì phải thay đổi. Biểu ngữ đó cho biết trình duyệt được cấu hình thế nào, không phải lưu lượng của nó đi đâu.
Cùng một kiểu xuất hiện ở nơi khác: một tác nhân trong khay hệ thống mà bạn chưa bao giờ cài, một tài khoản công việc đang đồng bộ tệp, một nhắc nhở tuân thủ sau khi bạn đổi DNS. Mỗi thứ thuộc một tầng khác nhau, và chỉ một trong những tầng đó quan tâm đến đường hầm của bạn.
Trước hết hãy xác định bạn đang nhìn vào tầng nào. Phần lớn sự nhầm lẫn đến từ việc coi một sự thật về quản lý thiết bị và một sự thật về tuyến mạng là cùng một câu hỏi.
Biểu ngữ là một cờ chính sách
Chrome hiển thị nhãn đó khi chính sách doanh nghiệp áp dụng cho hồ sơ. Chính sách đến dưới dạng tệp hoặc giá trị sổ đăng ký do trình cài đặt đặt vào, hoặc qua đăng ký quản lý đám mây gắn với một tài khoản. Không đường nào trong số đó chạm vào giao diện mạng.
Hai trang nội bộ giải quyết việc này mà không cần đoán. chrome://policy liệt kê mọi chính sách đang áp dụng, giá trị của nó và việc nó đến từ nền tảng hay từ quản lý đám mây. chrome://management báo cáo trình duyệt có được quản lý hay không và, trên các phiên bản gần đây, cái gì quản lý nó. Nếu có chính sách được liệt kê, biểu ngữ là chính xác và VPN không liên quan đến nó.
Đó cũng là lý do nhãn vẫn tồn tại với một máy chủ VPN khác, một trình phân giải DNS khác hay một hotspot. Bạn đang nhìn vào trạng thái cấu hình còn lưu trên đĩa.
Ba tầng, ba hồ sơ khác nhau
Sai lầm là giả định chỉ có một người quan sát. Trên thực tế có ít nhất ba, và chúng trả lời những câu hỏi khác nhau.
| Layer | What it can observe | Effect of a personal VPN |
|---|---|---|
| Network path | Destinations and timing visible to the local network, ISP or provider | The main thing a VPN changes |
| Device agent | Installed apps, OS version, disk encryption, device settings | None, unless the tool is itself network-based |
| Work account | Sessions, files and activity tied to the identity you signed in with | None, the account is still yours |
Đọc hàng thứ ba hai lần. VPN giấu địa chỉ của bạn với đích đến, nhưng đích đến đã biết bạn là ai vì bạn đã xác thực. Đường hầm đã di chuyển lưu lượng; nó không làm tài khoản trở nên ẩn danh.
Đăng ký tiết lộ gì và không tiết lộ gì
Microsoft công bố một danh sách dành cho người dùng về việc đăng ký Intune: kiểu và tên thiết bị, hệ điều hành và phiên bản, danh mục ứng dụng, và với thiết bị thuộc sở hữu cá nhân là một tập hẹp hơn. Cùng trang đó nói rõ rằng tổ chức không thể xem lịch sử duyệt web, email, mật khẩu, ảnh hay nội dung tài liệu chỉ qua việc đăng ký.
Giới hạn đó thuộc về Intune. Nó không phải thuộc tính của cụm từ thiết bị được quản lý. Một tác nhân bảo mật điểm cuối, một proxy web kết thúc TLS, một tiện ích trình duyệt có quyền truy cập nội dung hay một ứng dụng chống thất thoát dữ liệu đều có thể thu thập nhiều hơn, và một số thu thập rất nhiều. Hãy hỏi những sản phẩm nào được triển khai, không phải từ nào hiện trong menu.
Điều này quan trọng theo cả hai hướng. Đừng cho rằng việc đăng ký cho khả năng hiển thị đầy đủ, cũng đừng cho rằng nó chẳng cho gì. Câu trả lời trung thực là một danh sách sản phẩm cộng với một mô hình đăng ký: thuộc sở hữu công ty, thiết bị riêng có hồ sơ công việc, hoặc một trình duyệt cá nhân tình cờ đăng nhập vào tài khoản công việc.
Vì sao không thể giấu hồ sơ tài khoản bằng đường hầm
Khi bạn mở một dịch vụ công việc, dịch vụ ghi phiên vào tài khoản đã xác thực. Định tuyến qua VPN ở quốc gia khác thay đổi địa chỉ mà nó ghi lại; nó không xóa danh tính, token hay mục kiểm toán. Duyệt riêng tư cũng không thay đổi điều đó, vì nó giới hạn một phiên cục bộ, không phải thông tin đăng nhập bạn trình ra.
Các tổ chức ngày càng yêu cầu một ứng dụng khách được phê duyệt và có thể chặn những cái khác ở cổng. Chống lại điều đó không phải là chiến lược riêng tư. Nó thường làm hỏng một lần kiểm tra tuân thủ, làm vỡ một ứng dụng cần thiết và đặt tài khoản vào rủi ro vì một lợi ích chưa bao giờ tồn tại.
Nên làm gì với triệu chứng này
Hãy bắt đầu ở nơi bằng chứng rẻ. Mở chrome://policy và ghi lại tên các chính sách cùng nguồn của chúng, sau đó chrome://management để xem trạng thái đăng ký. Trên macOS xem Cài đặt, Chung, Quản lý thiết bị; trên Windows xem Tài khoản, Truy cập nơi làm việc hoặc trường học. Hai màn hình đó cho biết kiểm soát nằm ở cấp trình duyệt, cấp thiết bị hay chỉ ở một tài khoản đăng nhập ở đâu đó.
Sau đó hãy quyết định bạn thực sự muốn gì. Nếu thiết bị thuộc công ty, việc quản lý là cái giá của việc dùng nó và VPN không thay đổi gì về điều đó. Nếu là thiết bị cá nhân có hồ sơ công việc, quy trình gỡ bỏ được ghi lại sẽ tách hồ sơ và thường khiến bạn mất quyền truy cập công việc; sự đánh đổi đó mới là quyết định thực sự, không phải việc bạn kết nối tới máy chủ nào.
Nếu mục tiêu là tách công việc khỏi lưu lượng cá nhân, hãy tách danh tính thay vào đó. Một hồ sơ trình duyệt thứ hai không có tài khoản công việc, hoặc một thiết bị thứ hai, làm được nhiều hơn cho ranh giới đó so với bất kỳ đường hầm nào, vì nó thay đổi cái gì đã được cài và tài khoản nào đang hiện diện.