Túnel dividido o completo: lo que tu empleador sigue registrando

La pregunta llega como una sola pregunta y necesita dos respuestas. Un túnel cambia adónde viajan tus paquetes, mientras que el cliente cambia qué se ejecuta en la máquina, y confundir ambas cosas produce o una falsa tranquilidad o una alarma innecesaria. Sepáralas y el resto de la respuesta se deduce de hechos que puedes comprobar.

La mitad del tráfico la decide la ruta que instala el perfil. La mitad de la máquina la deciden lo que hace el cliente y lo que publica tu propio ordenador en la red.

Una pregunta esconde dos

Un túnel completo instala una ruta predeterminada a través de la puerta de enlace de la empresa, así que las peticiones públicas salen de allí y la puerta de enlace, su proxy y su resolución pueden registrar destinos, horas y volúmenes. Un túnel dividido solo instala rutas seleccionadas, así que la navegación habitual sale por tu propia conexión y tu proveedor la ve en su lugar. Ninguno de los dos arreglos trata de la fuerza del cifrado: HTTPS protege el contenido en ambos casos y revela el destino en ambos casos. La distinción es el enrutamiento, y el enrutamiento es visible en la propia máquina.

El cliente también puede instalar un controlador que inspecciona paquetes, ejecutar una comprobación de estado antes de permitir una conexión e informar de qué software está presente. Son capacidades del software, no del túnel, y se aplican en ambos modos de enrutamiento.

Qué guardan la puerta de enlace y el proxy

Con la ruta predeterminada apuntando al túnel, espera que el resolutor corporativo y cualquier proxy web guarden un registro de los destinos con los que has contactado. Un proxy además registra la línea de petición de una solicitud HTTP sin cifrar y el destino CONNECT usado para HTTPS, que es un registro más rico que un registro de flujos. El contenido dentro de HTTPS sigue siendo ilegible a menos que la organización haya instalado su propio certificado de confianza en la máquina, lo que es un cambio aparte y visible. Los metadatos de flujo por sí solos bastan para establecer cuándo trabajabas y qué servicios usabas.

Con un túnel dividido esos destinos públicos salen por tu propio enlace, así que el registro de la empresa cubre nombres internos y destinos corporativos en lugar de todo. Es un registro más pequeño, y sigue sin estar vacío. Cualquier afirmación de que un túnel dividido significa que el empleador no ve nada es sencillamente falsa.

El DNS ve nombres que el túnel quizá no transporte

La resolución de nombres es un camino propio, y un perfil que impone el resolutor corporativo envía allí las consultas incluso cuando la conexión sale localmente. El resolutor registra los nombres que pediste, lo que a menudo es más informativo que las direcciones que alcanzaste. El DNS dividido lo limita a dominios internos, y un navegador con su propio resolutor cifrado puede evitar del todo el arreglo. Tres componentes pueden responder una consulta, y solo uno de ellos pertenece a la empresa.

Prueba la ruta de resolución por separado de la ruta de enrutamiento. Una consulta que va al resolutor corporativo mientras la conexión sale localmente es una configuración dividida que funciona según lo diseñado, y sigue revelando nombres.

Comprueba la ruta y los recursos compartidos

Dos hechos deciden qué estás exponiendo realmente, y ambos son visibles en la máquina. Los comandos siguientes muestran las rutas predeterminadas con el túnel activo, la ruta de resolución de nombres y los recursos compartidos que publica este ordenador. Ejecútalos antes de conectarte y luego otra vez mientras estás conectado.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Una ruta predeterminada que nombra el adaptador del túnel significa que la empresa transporta tu tráfico público, y una ruta predeterminada que nombra tu propio adaptador significa que no lo hace. Un recurso compartido listado por el tercer comando es alcanzable desde la red corporativa mientras el túnel está activo, incluso cuando el nombre de host habitual no se resuelve, y el acceso de invitado lo hace alcanzable sin cuenta. El perfil del cortafuegos importa porque un adaptador de túnel puede clasificarse como público, lo que decide si se permite compartir archivos. Lee los cuatro juntos y el límite queda descrito en lugar de adivinado.

Elige el arreglo a partir de ese límite: una conexión directa da a las herramientas del empleador el mayor alcance, un dispositivo de la empresa mantiene la monitorización laboral lejos de tus archivos, y una máquina virtual aísla la instalación sin cambiar por dónde sale el tráfico. Anota qué ruta y qué recursos compartidos has aceptado.