Dividita aŭ plena tunelo: kion via dunganto ankoraŭ registras

La demando alvenas kiel unu demando, kaj ĝi bezonas du respondojn. Tunelo ŝanĝas, kien vojaĝas viaj pakaĵoj, dum la kliento ŝanĝas, kio ruliĝas sur la maŝino, kaj miksado de la du produktas aŭ falsan trankviliĝon aŭ senbezonan alarmon. Apartigu ilin kaj la resto de la respondo sekvas el faktoj, kiujn vi povas kontroli.

La duonon pri trafiko decidas la itinero, kiun la profilo instalas. La duonon pri la maŝino decidas tio, kion faras la kliento kaj kion via propra komputilo publikigas en la reto.

Unu demando kaŝas du

Plena tunelo instalas defaŭltan itineron tra la enirejo de la kompanio, do publikaj petoj eliras de tie kaj la enirejo, ĝia prokurilo kaj ĝia solvilo povas registri celojn, tempojn kaj volumojn. Dividita tunelo instalas nur elektitajn itinerojn, do ordinara retumirado eliras tra via propra konekto kaj via provizanto vidas ĝin anstataŭe. Neniu el la du aranĝoj temas pri ĉifrada forto: HTTPS protektas enhavon en ambaŭ kazoj kaj malkaŝas la celon en ambaŭ kazoj. La diferenco estas enkursigado, kaj enkursigado videblas sur la maŝino mem.

La kliento ankaŭ povas instali pelilon, kiu inspektas pakaĵojn, ruli sanan kontrolon antaŭ ol permesi konekton kaj raporti, kiu programaro ĉeestas. Tiuj estas kapabloj de la programaro, ne de la tunelo, kaj ili validas en ambaŭ enkursigaj reĝimoj.

Kion la enirejo kaj la prokurilo konservas

Kiam la defaŭlta itinero montras en la tunelon, atendu, ke la entreprena solvilo kaj iu ajn retprokurilo konservos registron de la celoj, kiujn vi kontaktis. Prokurilo krome protokolas la petlinion de neĉifrita HTTP-peto kaj la celon CONNECT uzatan por HTTPS, kio estas pli riĉa registro ol fluoregistro. Enhavo ene de HTTPS restas nelegebla, krom se la organizo instalis sian propran fidindan atestilon sur la maŝinon, kio estas aparta kaj videbla ŝanĝo. Fluaj metadatumoj solaj sufiĉas por konstati, kiam vi laboris kaj kiujn servojn vi uzis.

Kun dividita tunelo tiuj publikaj celoj eliras tra via propra ligo, do la registro de la kompanio kovras internajn nomojn kaj entreprenajn celojn anstataŭ ĉion. Tio estas pli malgranda registro, kaj ankoraŭ ne malplena. Ĉiu aserto, ke dividita tunelo signifas, ke la dunganto vidas nenion, estas simple malĝusta.

DNS vidas nomojn, kiujn la tunelo eble ne portas

Nomosolvado estas propra vojo, kaj profilo, kiu puŝas la entreprenan solvilon, sendas serĉojn tien eĉ kiam la konekto eliras loke. La solvilo registras la nomojn, kiujn vi demandis, kio ofte estas pli informa ol la adresoj, kiujn vi atingis. Dividita DNS limigas tion al internaj domajnoj, kaj retumilo kun propra ĉifrita solvilo povas tute preterpasi la aranĝon. Tri komponantoj povas respondi serĉon, kaj nur unu el ili apartenas al la kompanio.

Testu la solvan vojon aparte de la enkursiga vojo. Serĉo iranta al la entreprena solvilo dum la konekto eliras loke estas dividita agordo funkcianta laŭ la plano, kaj ĝi ankoraŭ malkaŝas nomojn.

Kontrolu la itineron kaj la kunhavojn

Du faktoj decidas, kion vi fakte elmetas, kaj ambaŭ videblas sur la maŝino. La subaj komandoj montras la defaŭltajn itinerojn kun la tunelo supre, la nomosolvan vojon kaj la kunhavojn, kiujn ĉi tiu komputilo publikigas. Rulu ilin antaŭ ol konekti, poste denove dum vi estas konektita.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Defaŭlta itinero nomanta la tunelan adaptilon signifas, ke la kompanio portas vian publikan trafikon, kaj defaŭlta nomanta vian propran adaptilon signifas, ke ĝi ne portas ĝin. Kunhavo listigita de la tria komando estas atingebla el la entreprena reto dum la tunelo estas supre, eĉ kiam la ordinara gastignomo ne solviĝas, kaj gastiga aliro faras ĝin atingebla sen konto. La fajromura profilo gravas, ĉar tunela adaptilo povas esti klasifikita kiel publika, kio decidas, ĉu dosiera kunhavigo entute permesatas. Legu la kvar kune kaj la limo estos priskribita anstataŭ divenita.

Elektu la aranĝon laŭ tiu limo: rekta konekto donas al la iloj de la dunganto la plej grandan atingon, kompania aparato tenas laboran observadon for de viaj dosieroj, kaj virtuala maŝino izolas la instaladon sen ŝanĝi, de kie la trafiko eliras. Notu, kiun itineron kaj kiujn kunhavojn vi akceptis.