النفق المنقسم أم النفق الكامل: ما يظل صاحب العمل يسجّله

يصل السؤال في صيغة سؤال واحد، لكنه يحتاج إلى جوابين. النفق يغيّر المكان الذي تسير إليه حزمك، بينما يغيّر العميل ما يعمل على الجهاز، وخلط الاثنين ينتج إما طمأنة زائفة أو ذعرًا لا لزوم له. افصل بين الاثنين وسيتبع بقية الجواب من وقائع يمكنك التحقق منها.

نصف الحركة يحدده المسار الذي يثبّته الملف الشخصي. ونصف الجهاز يحدده ما يفعله العميل وما ينشره حاسوبك نفسه على الشبكة.

سؤال واحد يخفي اثنين

النفق الكامل يثبّت مسارًا افتراضيًا عبر بوابة الشركة، فتغادر الطلبات العامة من هناك، ويمكن للبوابة ووكيلها وخادم تحليل الأسماء الخاص بها تسجيل الوجهات والأوقات والأحجام. أما النفق المنقسم فيثبّت مسارات مختارة فقط، فالتصفح العادي يغادر عبر اتصالك الخاص ويراه مزود الخدمة بدلًا من ذلك. لا يتعلق أي من الترتيبين بقوة التشفير: فـ HTTPS يحمي المحتوى في الحالتين ويكشف الوجهة في الحالتين. الفرق هو التوجيه، والتوجيه مرئي على الجهاز نفسه.

يمكن للعميل أيضًا تثبيت برنامج تشغيل يفحص الحزم، وتشغيل فحص للحالة قبل أن يسمح بالاتصال، والإبلاغ عن البرمجيات الموجودة. هذه قدرات البرمجية لا قدرات النفق، وهي تنطبق في وضعي التوجيه كليهما.

ما تحتفظ به البوابة والوكيل

عندما يشير المسار الافتراضي إلى داخل النفق، توقّع أن يحتفظ خادم تحليل الأسماء المؤسسي وأي وكيل ويب بسجل للوجهات التي اتصلت بها. والوكيل يسجّل إضافةً إلى ذلك سطر الطلب في طلب HTTP غير المشفّر ووجهة CONNECT المستخدمة مع HTTPS، وهو سجل أغنى من سجل التدفق. يبقى المحتوى داخل HTTPS غير مقروء إلا إذا كانت المؤسسة قد ثبّتت شهادتها الموثوقة على الجهاز، وهذا تغيير منفصل ومرئي. وميتاداتا التدفق وحدها تكفي لإثبات متى كنت تعمل وأي الخدمات استخدمت.

مع النفق المنقسم تغادر تلك الوجهات العامة عبر وصلةك الخاصة، فيغطي سجل الشركة أسماء داخلية ووجهات مؤسسية بدلًا من كل شيء. ذلك سجل أصغر، وما زال ليس سجلًا فارغًا. وأي زعم بأن النفق المنقسم يعني أن صاحب العمل لا يرى شيئًا هو ببساطة خطأ.

تحليل الأسماء يرى أسماء قد لا يحملها النفق

تحليل الأسماء مسار قائم بذاته، والملف الشخصي الذي يدفع خادم التحليل المؤسسي يرسل الاستعلامات إليه حتى عندما يخرج الاتصال محليًا. ويسجّل الخادم الأسماء التي طلبتها، وهي غالبًا أكثر دلالة من العناوين التي وصلت إليها. ويحصر تحليل الأسماء المنقسم ذلك في النطاقات الداخلية، أما المتصفح الذي يملك محللًا مشفّرًا خاصًا به فيستطيع تجاوز الترتيب كليًا. ثلاثة مكوّنات يمكنها الإجابة عن استعلام، وواحد منها فقط يخص الشركة.

اختبر مسار التحليل منفصلًا عن مسار التوجيه. الاستعلام الذي يذهب إلى خادم التحليل المؤسسي بينما يخرج الاتصال محليًا هو إعداد منقسم يعمل كما صُمّم، وما زال يكشف الأسماء.

تحقق من المسار ومن الموارد المشتركة

واقعتان تحددان ما تعرّضه فعلًا، وكلتاهما مرئية على الجهاز. تعرض الأوامر أدناه المسارات الافتراضية والنفق قائم، ومسار تحليل الأسماء، والموارد المشتركة التي ينشرها هذا الحاسوب. نفّذها قبل الاتصال، ثم مرة أخرى أثناء الاتصال.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

المسار الافتراضي الذي يسمّي محول النفق يعني أن الشركة تحمل حركة مرورك العامة، والمسار الافتراضي الذي يسمّي محولك الخاص يعني أنها لا تفعل. والمورد المشترك الذي يسرده الأمر الثالث يمكن الوصول إليه من الشبكة المؤسسية ما دام النفق قائمًا، حتى عندما لا يُحلّ اسم المضيف العادي، ووصول الضيوف يجعله متاحًا دون حساب. وملف تعريف جدار الحماية مهم لأن محول النفق قد يُصنَّف عامًا، وهذا يحدد ما إذا كانت مشاركة الملفات مسموحة أصلًا. اقرأ الأربعة معًا فتُوصف الحدود بدلًا من تخمينها.

اختر الترتيب انطلاقًا من تلك الحدود: الاتصال المباشر يمنح أدوات صاحب العمل أوسع وصول، وجهاز الشركة يبقي مراقبة العمل بعيدًا عن ملفاتك، والآلة الافتراضية تعزل التثبيت دون تغيير مكان خروج الحركة. سجّل أي مسار وأي موارد مشتركة قبلت.