Gesplete of volle tonnel: wat jou werkgewer steeds aanteken

Die vraag kom as een vraag, en dit het twee antwoorde nodig. 'n Tonnel verander waar jou pakkies reis, terwyl die kliënt verander wat op die masjien hardloop, en om die twee te verwar lewer óf valse gerusstelling óf onnodige alarm. Skei die twee en die res van die antwoord volg uit feite wat jy kan nagaan.

Die verkeershelfte word deur die roete bepaal wat die profiel installeer. Die masjienhelfte word bepaal deur wat die kliënt doen en wat jou eie rekenaar op die netwerk publiseer.

Een vraag verberg twee

'n Volle tonnel installeer 'n verstekroete deur die maatskappy se poort, so openbare versoeke vertrek daarvandaan en die poort, sy proxy en sy oplosser kan bestemmings, tye en volumes aanteken. 'n Gesplete tonnel installeer slegs geselekteerde roetes, so gewone blaaiery verlaat deur jou eie verbinding en jou diensverskaffer sien dit eerder. Nie een van die twee reëlings gaan oor die sterkte van enkripsie nie: HTTPS beskerm inhoud in beide gevalle en openbaar die bestemming in beide gevalle. Die onderskeid is roetering, en roetering is op die masjien self sigbaar.

Die kliënt kan ook 'n drywer installeer wat pakkies ondersoek, 'n gesondheidstoets uitvoer voordat dit 'n verbinding toelaat, en rapporteer watter sagteware teenwoordig is. Dit is vermoëns van die sagteware eerder as van die tonnel, en dit geld onder albei roeteringsmodusse.

Wat die poort en die proxy hou

Met die verstekroete wat in die tonnel wys, verwag dat die korporatiewe oplosser en enige webproxy 'n rekord hou van die bestemmings wat jy gekontak het. 'n Proxy teken bykomend die versoekreël van 'n onversleutelde HTTP-versoek aan en die CONNECT-bestemming wat vir HTTPS gebruik word, wat 'n ryker rekord is as 'n vloeilog. Inhoud binne HTTPS bly onleesbaar, tensy die organisasie sy eie vertroude sertifikaat op die masjien geïnstalleer het, wat 'n aparte en sigbare verandering is. Vloeimetadata alleen is genoeg om vas te stel wanneer jy gewerk het en watter dienste jy gebruik het.

Met 'n gesplete tonnel verlaat daardie openbare bestemmings deur jou eie skakel, so die maatskappy se rekord dek interne name en korporatiewe bestemmings in plaas van alles. Dit is 'n kleiner rekord, en steeds nie 'n leë een nie. Enige bewering dat 'n gesplete tonnel beteken die werkgewer sien niks, is eenvoudig verkeerd.

DNS sien name wat die tonnel dalk nie dra nie

Naamresolusie is 'n eie pad, en 'n profiel wat die korporatiewe oplosser stoot, stuur opsoektogte daarheen selfs wanneer die verbinding plaaslik uitgaan. Die oplosser teken die name aan wat jy gevra het, wat dikwels meer insiggewend is as die adresse wat jy bereik het. Gesplete DNS beperk dit tot interne domeine, en 'n blaaier met sy eie versleutelde oplosser kan die reëling heeltemal omseil. Drie komponente kan 'n opsoektog beantwoord, en slegs een van hulle behoort aan die maatskappy.

Toets die resolusiepad apart van die roeteringspad. 'n Opsoektog wat na die korporatiewe oplosser gaan terwyl die verbinding plaaslik uitgaan, is 'n gesplete opset wat werk soos ontwerp, en dit openbaar steeds name.

Kontroleer die roete en die deelbronne

Twee feite bepaal wat jy werklik blootstel, en albei is op die masjien sigbaar. Die opdragte hieronder wys die verstekroetes met die tonnel op, die naamresolusiepad, en die deelbronne wat hierdie rekenaar publiseer. Voer hulle uit voordat jy koppel, en dan weer terwyl jy gekoppel is.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

'n Verstekroete wat die tonnel-adapter noem, beteken die maatskappy dra jou openbare verkeer, en 'n verstek wat jou eie adapter noem, beteken dit doen dit nie. 'n Deelbron wat deur die derde opdrag gelys word, is bereikbaar vanaf die korporatiewe netwerk terwyl die tonnel op is, selfs wanneer die gewone gasheernaam nie resolveer nie, en gas toegang maak dit bereikbaar sonder 'n rekening. Die vuurwalprofiel maak saak omdat 'n tonnel-adapter as openbaar geklassifiseer kan word, wat bepaal of lêerdeling hoegenaamd toegelaat word. Lees die vier saam en die grens word beskryf eerder as geraai.

Kies die reëling uit daardie grens: 'n direkte verbinding gee die werkgewer se gereedskap die meeste reik, 'n maatskappystoestel hou werksmonitering weg van jou lêers, en 'n virtuele masjien isoleer die installasie sonder om te verander waar die verkeer uitgaan. Teken aan watter roete en watter deelbronne jy aanvaar het.