Túnel dividit o complet: què continua registrant el teu ocupador

La pregunta arriba com una sola pregunta i necessita dues respostes. Un túnel canvia on viatgen els teus paquets, mentre que el client canvia què s’executa a la màquina, i confondre les dues coses produeix o una falsa tranquil·litat o una alarma innecessària. Separa-les i la resta de la resposta es desprèn de fets que pots comprovar.

La meitat del trànsit la decideix la ruta que instal·la el perfil. La meitat de la màquina la decideixen el que fa el client i el que publica el teu propi ordinador a la xarxa.

Una pregunta n’amaga dues

Un túnel complet instal·la una ruta per defecte a través de la passarel·la de l’empresa, així que les peticions públiques surten d’allà i la passarel·la, el seu proxy i el seu resolutor poden registrar destins, hores i volums. Un túnel dividit només instal·la rutes seleccionades, així que la navegació habitual surt per la teva pròpia connexió i el teu proveïdor la veu en lloc d’allò. Cap dels dos arranjaments no va sobre la força del xifratge: HTTPS protegeix el contingut en tots dos casos i revela el destí en tots dos casos. La distinció és l’encaminament, i l’encaminament és visible a la mateixa màquina.

El client també pot instal·lar un controlador que inspecciona paquets, executar una comprovació d’estat abans de permetre una connexió i informar de quin programari hi ha. Són capacitats del programari, no del túnel, i s’apliquen en tots dos modes d’encaminament.

Què guarden la passarel·la i el proxy

Amb la ruta per defecte apuntant dins del túnel, espera que el resolutor corporatiu i qualsevol proxy web tinguin un registre dels destins amb què has contactat. A més, un proxy registra la línia de petició d’una sol·licitud HTTP no xifrada i el destí CONNECT utilitzat per a HTTPS, que és un registre més ric que un registre de fluxos. El contingut dins d’HTTPS continua sent il·legible tret que l’organització hagi instal·lat el seu propi certificat de confiança a la màquina, cosa que és un canvi separat i visible. Les metadades de flux per si soles ja basten per establir quan treballaves i quins serveis feies servir.

Amb un túnel dividit, aquests destins públics surten per la teva pròpia connexió, així que el registre de l’empresa cobreix noms interns i destins corporatius en lloc de tot. És un registre més petit, i encara no és buit. Qualsevol afirmació que un túnel dividit significa que l’ocupador no veu res és simplement falsa.

El DNS veu noms que el túnel potser no transporta

La resolució de noms és un camí propi, i un perfil que empeny el resolutor corporatiu hi envia les consultes fins i tot quan la connexió surt localment. El resolutor registra els noms que has demanat, cosa que sovint és més informativa que les adreces a què has arribat. El DNS dividit ho limita als dominis interns, i un navegador amb el seu propi resolutor xifrat pot evitar del tot l’arranjament. Tres components poden respondre una consulta, i només un d’ells pertany a l’empresa.

Prova el camí de resolució per separat del camí d’encaminament. Una consulta que va al resolutor corporatiu mentre la connexió surt localment és una configuració dividida que funciona segons el disseny, i encara revela noms.

Comprova la ruta i els recursos compartits

Dos fets decideixen què estàs exposant realment, i tots dos són visibles a la màquina. Les ordres següents mostren les rutes per defecte amb el túnel aixecat, el camí de resolució de noms i els recursos compartits que publica aquest ordinador. Executa-les abans de connectar-te i després una altra vegada mentre estiguis connectat.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Una ruta per defecte que nomena l’adaptador del túnel significa que l’empresa transporta el teu trànsit públic, i una ruta per defecte que nomena el teu propi adaptador significa que no ho fa. Un recurs compartit llistat per la tercera ordre és abastable des de la xarxa corporativa mentre el túnel és aixecat, fins i tot quan el nom d’amfitrió habitual no es resol, i l’accés de convidat el fa abastable sense cap compte. El perfil del tallafoc importa perquè un adaptador de túnel pot classificar-se com a públic, cosa que decideix si es permet compartir fitxers. Llegeix els quatre junts i el límit queda descrit en lloc d’endevinat.

Tria l’arranjament a partir d’aquest límit: una connexió directa dóna a les eines de l’ocupador el màxim abast, un dispositiu de l’empresa manté la monitorització laboral lluny dels teus fitxers, i una màquina virtual aïlla la instal·lació sense canviar per on surt el trànsit. Anota quina ruta i quins recursos compartits has acceptat.