Διαχωρισμένη ή πλήρης σήραγγα: τι εξακολουθεί να καταγράφει ο εργοδότης σας

Η ερώτηση φτάνει ως μία ερώτηση και χρειάζεται δύο απαντήσεις. Μια σήραγγα αλλάζει πού ταξιδεύουν τα πακέτα σας, ενώ ο πελάτης αλλάζει τι εκτελείται στο μηχάνημα, και η σύγχυση των δύο παράγει είτε ψευδή καθησυχασμό είτε περιττό συναγερμό. Διαχωρίστε τα και το υπόλοιπο της απάντησης προκύπτει από γεγονότα που μπορείτε να ελέγξετε.

Το μισό της κίνησης το καθορίζει η διαδρομή που εγκαθιστά το προφίλ. Το μισό του μηχανήματος το καθορίζουν το τι κάνει ο πελάτης και το τι δημοσιεύει ο δικός σας υπολογιστής στο δίκτυο.

Μία ερώτηση κρύβει δύο

Η πλήρης σήραγγα εγκαθιστά προεπιλεγμένη διαδρομή μέσω της πύλης της εταιρείας, οπότε τα δημόσια αιτήματα φεύγουν από εκεί και η πύλη, ο διαμεσολαβητής και ο επιλυτής της μπορούν να καταγράφουν προορισμούς, χρόνους και όγκους. Η διαχωρισμένη σήραγγα εγκαθιστά μόνο επιλεγμένες διαδρομές, οπότε η συνηθισμένη περιήγηση φεύγει από τη δική σας σύνδεση και την βλέπει ο πάροχός σας αντί γι αυτό. Καμία από τις δύο ρυθμίσεις δεν αφορά την ισχύ κρυπτογράφησης: το HTTPS προστατεύει το περιεχόμενο και στις δύο περιπτώσεις και αποκαλύπτει τον προορισμό και στις δύο περιπτώσεις. Η διαφορά είναι η δρομολόγηση, και η δρομολόγηση είναι ορατή στο ίδιο το μηχάνημα.

Ο πελάτης μπορεί επίσης να εγκαταστήσει πρόγραμμα οδήγησης που επιθεωρεί πακέτα, να εκτελέσει έλεγχο υγείας πριν επιτρέψει σύνδεση και να αναφέρει ποιο λογισμικό υπάρχει. Αυτές είναι δυνατότητες του λογισμικού και όχι της σήραγγας, και ισχύουν και στις δύο λειτουργίες δρομολόγησης.

Τι κρατούν η πύλη και ο διαμεσολαβητής

Με την προεπιλεγμένη διαδρομή να δείχνει μέσα στη σήραγγα, περιμένετε ο εταιρικός επιλυτής και οποιοσδήποτε διαμεσολαβητής ιστού να τηρούν αρχείο των προορισμών που προσεγγίσατε. Ο διαμεσολαβητής καταγράφει επιπλέον τη γραμμή αιτήματος ενός μη κρυπτογραφημένου αιτήματος HTTP και τον προορισμό CONNECT που χρησιμοποιείται για HTTPS, που είναι πλουσιότερο αρχείο από ένα αρχείο ροών. Το περιεχόμενο μέσα στο HTTPS παραμένει μη αναγνώσιμο, εκτός αν ο οργανισμός εγκατέστησε το δικό του έμπιστο πιστοποιητικό στο μηχάνημα, που είναι ξεχωριστή και ορατή αλλαγή. Τα μεταδεδομένα ροής από μόνα τους αρκούν για να διαπιστωθεί πότε εργαζόσασταν και ποιες υπηρεσίες χρησιμοποιήσατε.

Με διαχωρισμένη σήραγγα αυτοί οι δημόσιοι προορισμοί φεύγουν από τη δική σας ζεύξη, οπότε το αρχείο της εταιρείας καλύπτει εσωτερικά ονόματα και εταιρικούς προορισμούς αντί για τα πάντα. Είναι μικρότερο αρχείο και ακόμη όχι κενό. Οποιοσδήποτε ισχυρισμός ότι η διαχωρισμένη σήραγγα σημαίνει πως ο εργοδότης δεν βλέπει τίποτα είναι απλώς λανθασμένος.

Το DNS βλέπει ονόματα που η σήραγγα μπορεί να μη μεταφέρει

Η επίλυση ονομάτων είναι δική της διαδρομή, και ένα προφίλ που προωθεί τον εταιρικό επιλυτή στέλνει εκεί τις αναζητήσεις ακόμη και όταν η σύνδεση εξέρχεται τοπικά. Ο επιλυτής καταγράφει τα ονόματα που ζητήσατε, που είναι συχνά πιο κατατοπιστικό από τις διευθύνσεις που φτάσατε. Το διαχωρισμένο DNS το περιορίζει σε εσωτερικούς τομείς, και ένα πρόγραμμα περιήγησης με δικό του κρυπτογραφημένο επιλυτή μπορεί να παρακάμψει εντελώς τη ρύθμιση. Τρία στοιχεία μπορούν να απαντήσουν σε μια αναζήτηση, και μόνο ένα από αυτά ανήκει στην εταιρεία.

Δοκιμάστε τη διαδρομή επίλυσης ξεχωριστά από τη διαδρομή δρομολόγησης. Μια αναζήτηση που πηγαίνει στον εταιρικό επιλυτή ενώ η σύνδεση εξέρχεται τοπικά είναι διαχωρισμένη διαμόρφωση που λειτουργεί όπως σχεδιάστηκε, και εξακολουθεί να αποκαλύπτει ονόματα.

Ελέγξτε τη διαδρομή και τα κοινόχρηστα

Δύο γεγονότα καθορίζουν τι εκθέτετε πραγματικά, και τα δύο είναι ορατά στο μηχάνημα. Οι εντολές παρακάτω δείχνουν τις προεπιλεγμένες διαδρομές με τη σήραγγα ενεργή, τη διαδρομή επίλυσης ονομάτων και τα κοινόχρηστα που δημοσιεύει αυτός ο υπολογιστής. Εκτελέστε τις πριν συνδεθείτε και μετά ξανά όσο είστε συνδεδεμένοι.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Προεπιλεγμένη διαδρομή που ονομάζει τον προσαρμογέα της σήραγγας σημαίνει ότι η εταιρεία μεταφέρει τη δημόσια κίνησή σας, και προεπιλεγμένη που ονομάζει τον δικό σας προσαρμογέα σημαίνει ότι δεν τη μεταφέρει. Κοινόχρηστο που απαριθμεί η τρίτη εντολή είναι προσβάσιμο από το εταιρικό δίκτυο όσο η σήραγγα είναι ενεργή, ακόμη και όταν το συνηθισμένο όνομα κεντρικού υπολογιστή δεν επιλύεται, και η πρόσβαση επισκέπτη το καθιστά προσβάσιμο χωρίς λογαριασμό. Το προφίλ του τείχους προστασίας έχει σημασία γιατί ο προσαρμογέας σήραγγας μπορεί να ταξινομηθεί ως δημόσιος, κάτι που καθορίζει αν επιτρέπεται καθόλου η κοινή χρήση αρχείων. Διαβάστε τα τέσσερα μαζί και το όριο περιγράφεται αντί να μαντεύεται.

Επιλέξτε τη ρύθμιση από αυτό το όριο: μια άμεση σύνδεση δίνει στα εργαλεία του εργοδότη τη μεγαλύτερη εμβέλεια, μια εταιρική συσκευή κρατά την παρακολούθηση εργασίας μακριά από τα αρχεία σας και μια εικονική μηχανή απομονώνει την εγκατάσταση χωρίς να αλλάζει από πού εξέρχεται η κίνηση. Καταγράψτε ποια διαδρομή και ποια κοινόχρηστα δεχτήκατε.