Раздзелены ці поўны тунэль: што ваш працадаўца ўсё яшчэ запісвае

Пытанне прыходзіць як адно пытанне, а патрабуе двух адказаў. Тунэль змяняе тое, куды ідуць вашы пакеты, а кліент змяняе тое, што працуе на машыне, і змешванне гэтых двух дае альбо фальшывае супакаенне, альбо непатрэбную трывогу. Раздзяліце іх, і рэшта адказу вынікае з фактаў, якія вы можаце праверыць.

Палова пра трафік вызначаецца маршрутам, які ўсталёўвае профіль. Палова пра машыну вызначаецца тым, што робіць кліент і што публікуе ў сетцы ваш уласны камп'ютар.

Адно пытанне хавае два

Поўны тунэль усталёўвае маршрут па змаўчанні праз шлюз кампаніі, таму публічныя запыты выходзяць адтуль, і шлюз, яго праксі і яго рэзалвер могуць запісваць прызначэнні, часы і аб'ёмы. Раздзелены тунэль усталёўвае толькі выбранныя маршруты, таму звычайнае блуканне выходзіць праз ваша ўласнае злучэнне, і яго бачыць ваш правайдар замест гэтага. Ні адно з двух уладкаванняў не пра моц шыфравання: HTTPS абараняе змест у абодвух выпадках і раскрывае прызначэнне ў абодвух выпадках. Розніца ў маршрутызацыі, а маршрутызацыя бачная на самой машыне.

Кліент таксама можа ўсталяваць драйвер, які аглядае пакеты, запускаць праверку стану перад тым, як дазволіць злучэнне, і паведамляць, якое праграмнае забеспячэнне прысутнічае. Гэта магчымасці праграмы, а не тунэля, і яны дзейнічаюць у абодвух рэжымах маршрутызацыі.

Што захоўваюць шлюз і праксі

Калі маршрут па змаўчанні паказвае ў тунэль, чакайце, што карпаратыўны рэзалвер і любы вэб-праксі будуць трымаць запіс прызначэнняў, з якімі вы звязваліся. Праксі дадаткова запісвае радок запыту незашыфраванага HTTP-запыту і прызначэнне CONNECT, якое выкарыстоўваецца для HTTPS, што з'яўляецца багацейшым запісам, чым журнал патокаў. Змест унутры HTTPS застаецца нечытэльным, калі толькі арганізацыя не ўсталявала на машыне свой давераны сертыфікат, а гэта асобная і бачная змена. Адных метаданых патоку дастаткова, каб устанавіць, калі вы працавалі і якімі сэрвісамі карысталіся.

З раздзеленым тунэлем гэтыя публічныя прызначэнні выходзяць праз вашу ўласную сувязь, таму запіс кампаніі ахоплівае ўнутраныя імёны і карпаратыўныя прызначэнні замест усяго. Гэта меншы запіс, і ўсё ж не пусты. Любое сцвярджэнне, што раздзелены тунэль азначае, што працадаўца нічога не бачыць, проста памылковае.

DNS бачыць імёны, якіх тунэль можа не несці

Развязанне імёнаў — гэта асобны шлях, і профіль, які праштурхоўвае карпаратыўны рэзалвер, накіроўвае туды запыты нават тады, калі злучэнне выходзіць лакальна. Рэзалвер запісвае імёны, якія вы запытвалі, а гэта часта больш інфарматыўна, чым адрасы, да якіх вы дабраліся. Раздзелены DNS абмяжоўвае гэта ўнутранымі даменамі, а браўзер з уласным зашыфраваным рэзалверам можа цалкам абысці ўладкаванне. Адкажыць на запыт могуць тры кампаненты, і толькі адна з іх належыць кампаніі.

Праверце шлях развязання асобна ад шляху маршрутызацыі. Запыт, які ідзе да карпаратыўнага рэзалвера, пакуль злучэнне выходзіць лакальна, — гэта раздзеленая канфігурацыя, якая працуе як задумана, і яна ўсё ж раскрывае імёны.

Праверце маршрут і агульныя рэсурсы

Два факты вызначаюць, што вы насамрэч выкрываеце, і абодва бачныя на машыне. Каманды ніжэй паказваюць маршруты па змаўчанні пры ўзнятым тунэлі, шлях развязання імёнаў і агульныя рэсурсы, якія публікуе гэты камп'ютар. Запусціце іх перад злучэннем, а потым яшчэ раз, падчас злучэння.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Маршрут па змаўчанні, які называе адаптар тунэля, азначае, што кампанія нясе ваш публічны трафік, а маршрут па змаўчанні, які называе ваш уласны адаптар, азначае, што не нясе. Агульны рэсурс, паказаны трэцяй камандай, даступны з карпаратыўнай сеткі, пакуль тунэль узняты, нават калі звычайнае імя хоста не развязваецца, а гасцявы доступ робіць яго даступным без уліковага запісу. Профіль брандмаўэра важны, бо адаптар тунэля можа быць класіфікаваны як публічны, і гэта вырашае, ці дазволены агульны доступ да файлаў наогул. Чытайце ўсе чатыры разам, і мяжа будзе апісана, а не ўгадана.

Выберыце ўладкаванне з гэтай мяжы: прамое злучэнне дае інструментам працадаўцы найбольшы доступ, кампанійская прылада трымае маніторынг працы далей ад вашых файлаў, а віртуальная машына ізалюе ўсталяванне, не змяняючы таго, адкуль выходзіць трафік. Запішыце, які маршрут і якія агульныя рэсурсы вы прынялі.