Opdelt eller fuld tunnel: hvad din arbejdsgiver stadig registrerer

Spørgsmålet kommer som ét spørgsmål, og det kræver to svar. En tunnel ændrer, hvor dine pakker rejser hen, mens klienten ændrer, hvad der kører på maskinen, og at blande de to giver enten falsk tryghed eller unødig alarm. Skil dem ad, og resten af svaret følger af fakta, du selv kan kontrollere.

Trafikhalvdelen afgøres af den rute, profilen installerer. Maskinhalvdelen afgøres af, hvad klienten gør, og hvad din egen computer udstiller på netværket.

Ét spørgsmål skjuler to

En fuld tunnel installerer en standardrute gennem virksomhedens gateway, så offentlige forespørgsler forlader netværket derfra, og gatewayen, dens proxy og dens resolver kan registrere destinationer, tidspunkter og mængder. En opdelt tunnel installerer kun udvalgte ruter, så almindelig browsing forlader gennem din egen forbindelse, og din udbyder ser den i stedet. Ingen af de to opsætninger handler om krypteringsstyrke: HTTPS beskytter indhold i begge tilfælde og afslører destinationen i begge tilfælde. Forskellen er routing, og routing er synlig på selve maskinen.

Klienten kan også installere en driver, der inspicerer pakker, køre et sundhedstjek, før den tillader en forbindelse, og rapportere, hvilken software der er til stede. Det er softwarens evner snarere end tunnelens, og de gælder i begge routingtilstande.

Hvad gatewayen og proxyen gemmer

Når standardruten peger ind i tunnelen, må du forvente, at den korporative resolver og enhver webproxy fører en registrering af de destinationer, du har kontaktet. En proxy logger desuden anmodningslinjen for en ukrypteret HTTP-anmodning og CONNECT-destinationen, der bruges til HTTPS, hvilket er en rigere registrering end en flowlog. Indhold inde i HTTPS forbliver ulæseligt, medmindre organisationen har installeret sit eget betroede certifikat på maskinen, hvilket er en særskilt og synlig ændring. Flowmetadata alene er nok til at fastslå, hvornår du arbejdede, og hvilke tjenester du brugte.

Med en opdelt tunnel forlader disse offentlige destinationer gennem din egen forbindelse, så virksomhedens registrering dækker interne navne og korporative destinationer i stedet for alt. Det er en mindre registrering og stadig ikke en tom. Enhver påstand om, at en opdelt tunnel betyder, at arbejdsgiveren ikke ser noget, er ganske enkelt forkert.

DNS ser navne, som tunnelen måske ikke bærer

Navneoversættelse er sin egen vej, og en profil, der skubber den korporative resolver, sender opslag derhen, selv når forbindelsen forlader lokalt. Resolveren registrerer de navne, du bad om, hvilket ofte er mere oplysende end de adresser, du nåede. Opdelt DNS begrænser det til interne domæner, og en browser med sin egen krypterede resolver kan omgå opsætningen helt. Tre komponenter kan besvare et opslag, og kun én af dem tilhører virksomheden.

Test oversættelsesvejen adskilt fra routingvejen. Et opslag, der går til den korporative resolver, mens forbindelsen forlader lokalt, er en opdelt konfiguration, der virker efter hensigten, og den afslører stadig navne.

Kontrollér ruten og delingerne

To fakta afgør, hvad du faktisk udstiller, og begge er synlige på maskinen. Kommandoerne nedenfor viser standardruterne med tunnelen oppe, navneoversættelsesvejen og de delinger, denne computer udstiller. Kør dem, før du opretter forbindelse, og derefter igen, mens du er forbundet.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

En standardrute, der navngiver tunneleadapteren, betyder, at virksomheden bærer din offentlige trafik, og en standardrute, der navngiver din egen adapter, betyder, at den ikke gør. En deling, der er opført af den tredje kommando, kan nås fra det korporative netværk, mens tunnelen er oppe, selv når det almindelige værtsnavn ikke opløses, og gæsteadgang gør den tilgængelig uden en konto. Firewallprofilen betyder noget, fordi en tunneleadapter kan klassificeres som offentlig, hvilket afgør, om fildeling overhovedet er tilladt. Læs de fire sammen, og grænsen bliver beskrevet i stedet for gættet.

Vælg opsætningen ud fra den grænse: en direkte forbindelse giver arbejdsgiverens værktøjer den største rækkevidde, en virksomhedsenhed holder arbejdsovervågning væk fra dine filer, og en virtuel maskine isolerer installationen uden at ændre, hvor trafikken forlader. Notér, hvilken rute og hvilke delinger du accepterede.