Rozdělený, nebo plný tunel: co o vás zaměstnavatel stále zaznamenává

Otázka přichází jako jedna a potřebuje dvě odpovědi. Tunel mění, kam putují vaše pakety, zatímco klient mění, co běží na stroji, a směšování obojího přináší buď falešné uklidnění, nebo zbytečný poplach. Oddělte je a zbytek odpovědi vyplyne z faktů, které si můžete ověřit.

Polovinu o provozu určuje trasa, kterou profil nainstaluje. Polovinu o stroji určuje to, co dělá klient a co váš vlastní počítač zveřejňuje v síti.

Jedna otázka skrývá dvě

Plný tunel nainstaluje výchozí trasu přes firemní bránu, takže veřejné požadavky odcházejí odtamtud a brána, její proxy a její resolver mohou zaznamenávat cíle, časy a objemy. Rozdělený tunel nainstaluje jen vybrané trasy, takže běžné procházení odchází přes vaše vlastní připojení a místo toho je vidí váš poskytovatel. Ani jedno uspořádání není o síle šifrování: HTTPS chrání obsah v obou případech a v obou případech prozrazuje cíl. Rozdíl je ve směrování a směrování je vidět na samotném stroji.

Klient může také nainstalovat ovladač, který prohlíží pakety, spustit kontrolu stavu, než povolí připojení, a hlásit, jaký software je přítomen. To jsou schopnosti softwaru, nikoli tunelu, a platí v obou režimech směrování.

Co si brána a proxy ponechávají

Když výchozí trasa ukazuje do tunelu, očekávejte, že firemní resolver a jakákoli webová proxy povedou záznam o cílech, se kterými jste komunikovali. Proxy navíc zaznamenává řádek požadavku nešifrovaného HTTP požadavku a cíl CONNECT použitý pro HTTPS, což je bohatší záznam než protokol toků. Obsah uvnitř HTTPS zůstává nečitelný, pokud organizace nenainstalovala na stroj vlastní důvěryhodný certifikát, což je samostatná a viditelná změna. Samotná metadata toků stačí k tomu, aby se zjistilo, kdy jste pracovali a které služby jste používali.

U rozděleného tunelu tyto veřejné cíle odcházejí přes vaše vlastní připojení, takže firemní záznam pokrývá interní názvy a firemní cíle místo všeho. Je to menší záznam a stále není prázdný. Jakékoli tvrzení, že rozdělený tunel znamená, že zaměstnavatel nic nevidí, je prostě chybné.

DNS vidí názvy, které tunel nemusí nést

Překlad názvů je vlastní cesta a profil, který protlačuje firemní resolver, tam posílá dotazy, i když připojení vychází lokálně. Resolver zaznamenává názvy, které jste požadovali, což je často výmluvnější než adresy, na které jste dosáhli. Rozdělené DNS to omezuje na interní domény a prohlížeč s vlastním šifrovaným resolverem může uspořádání zcela obejít. Na dotaz mohou odpovědět tři komponenty a jen jedna z nich patří firmě.

Testujte cestu překladu odděleně od cesty směrování. Dotaz, který jde do firemního resolveru, zatímco připojení vychází lokálně, je rozdělená konfigurace fungující podle návrhu a stále prozrazuje názvy.

Zkontrolujte trasu a sdílené prostředky

O tom, co skutečně odhalujete, rozhodují dva fakty a oba jsou na stroji viditelné. Příkazy níže ukazují výchozí trasy se zvednutým tunelem, cestu překladu názvů a sdílené prostředky, které tento počítač zveřejňuje. Spusťte je před připojením a pak znovu, když jste připojeni.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Výchozí trasa, která jmenuje adaptér tunelu, znamená, že firma nese váš veřejný provoz, a výchozí trasa, která jmenuje váš vlastní adaptér, znamená, že ho nenese. Sdílený prostředek uvedený třetím příkazem je dostupný z firemní sítě, dokud je tunel zvednutý, i když se běžné jméno hostitele nepřekládá, a přístup pro hosty ho zpřístupní bez účtu. Profil brány firewall je důležitý, protože adaptér tunelu může být klasifikován jako veřejný, což rozhoduje, zda je sdílení souborů vůbec povoleno. Přečtěte si všechny čtyři společně a hranice bude popsána, ne uhodnuta.

Vyberte uspořádání podle této hranice: přímé připojení dává nástrojům zaměstnavatele největší dosah, firemní zařízení drží sledování práce dál od vašich souborů a virtuální stroj izoluje instalaci, aniž by měnil, kudy provoz vychází. Zaznamenejte, kterou trasu a které sdílené prostředky jste přijali.