Разделен или пълен тунел: какво работодателят ви все още записва

Въпросът идва като един въпрос, а изисква два отговора. Тунелът променя накъде пътуват пакетите ви, а клиентът променя какво работи на машината, и смесването на двете дава или фалшиво успокоение, или излишна тревога. Разделете ги и останалата част от отговора следва от факти, които можете да проверите.

Половината за трафика се решава от маршрута, който профилът инсталира. Половината за машината се решава от това какво прави клиентът и какво публикува собственият ви компютър в мрежата.

Един въпрос крие два

Пълният тунел инсталира маршрут по подразбиране през шлюза на компанията, така че публичните заявки излизат оттам и шлюзът, неговото прокси и неговият резолвер могат да записват дестинации, времена и обеми. Разделеният тунел инсталира само избрани маршрути, така че обичайното браузване излиза през собствената ви връзка и доставчикът ви го вижда вместо това. Нито една от двете подредби не е за силата на криптирането: HTTPS защитава съдържанието и в двата случая и разкрива дестинацията и в двата случая. Разликата е в маршрутизацията, а маршрутизацията е видима на самата машина.

Клиентът може също да инсталира драйвер, който инспектира пакети, да стартира проверка на състоянието, преди да разреши връзка, и да докладва какъв софтуер присъства. Това са възможности на софтуера, а не на тунела, и те важат и при двата режима на маршрутизация.

Какво пазят шлюзът и проксито

Когато маршрутът по подразбиране сочи в тунела, очаквайте корпоративният резолвер и всяко уеб прокси да пазят запис на дестинациите, с които сте се свързвали. Проксито допълнително записва реда на заявката при нешифрована HTTP заявка и дестинацията CONNECT, използвана за HTTPS, което е по-богат запис от журнал на потоци. Съдържанието вътре в HTTPS остава нечетимо, освен ако организацията не е инсталирала собствения си доверен сертификат на машината, а това е отделна и видима промяна. Само метаданните за потока стигат, за да се установи кога сте работили и кои услуги сте използвали.

При разделен тунел тези публични дестинации излизат през вашата собствена връзка, така че записът на компанията покрива вътрешни имена и корпоративни дестинации вместо всичко. Това е по-малък запис и все пак не е празен. Всяко твърдение, че разделеният тунел означава, че работодателят не вижда нищо, е просто погрешно.

DNS вижда имена, които тунелът може да не пренесе

Разрешаването на имена е отделен път и профил, който изтласква корпоративния резолвер, изпраща там търсенията дори когато връзката излиза локално. Резолверът записва имената, които сте поискали, а това често е по-информативно от адресите, до които сте стигнали. Разделният DNS ограничава това до вътрешни домейни, а браузър със собствен шифрован резолвер може напълно да заобиколи подредбата. Три компонента могат да отговорят на търсене и само един от тях принадлежи на компанията.

Тествайте пътя на разрешаване отделно от пътя на маршрутизация. Търсене, което отива до корпоративния резолвер, докато връзката излиза локално, е разделена конфигурация, работеща както е замислена, и тя все още разкрива имена.

Проверете маршрута и споделените ресурси

Два факта решават какво всъщност разкривате и двата са видими на машината. Командите по-долу показват маршрутите по подразбиране при вдигнат тунел, пътя за разрешаване на имена и споделените ресурси, които този компютър публикува. Изпълнете ги преди свързване, а после отново, докато сте свързани.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Маршрут по подразбиране, който назовава адаптера на тунела, означава, че компанията носи публичния ви трафик, а маршрут по подразбиране, който назовава вашия собствен адаптер, означава, че не го носи. Споделен ресурс, изброен от третата команда, е достъпен от корпоративната мрежа, докато тунелът е вдигнат, дори когато обичайното име на хост не се разрешава, а гост достъпът го прави достъпен без акаунт. Профилът на защитната стена е важен, защото адаптерът на тунела може да бъде класифициран като публичен, което решава дали споделянето на файлове е разрешено изобщо. Прочетете четирите заедно и границата ще бъде описана, а не позната.

Изберете подредбата от тази граница: директната връзка дава на инструментите на работодателя най-голям обхват, устройството на компанията държи наблюдението на работата далеч от файловете ви, а виртуалната машина изолира инсталацията, без да променя откъде излиза трафикът. Запишете кой маршрут и кои споделени ресурси сте приели.