Jagatud või täielik tunnel: mida sinu tööandja ikka veel salvestab

Küsimus tuleb ühe küsimusena ja vajab kahte vastust. Tunnel muudab seda, kuhu sinu paketid liiguvad, klient aga muudab seda, mis masinas jookseb, ja nende kahe segamine tekitab kas vale turvatunde või tarbetu häire. Eralda need ja ülejäänud vastus tuleneb faktidest, mida saad kontrollida.

Liikluse poole otsustab marsruut, mille profiil paigaldab. Masina poole otsustavad see, mida klient teeb, ja see, mida sinu enda arvuti võrgus avaldab.

Üks küsimus peidab kaks

Täielik tunnel paigaldab ettevõtte lüüsi kaudu vaikimisi marsruudi, nii et avalikud päringud väljuvad sealt ning lüüs, selle puhverserver ja nimeserver saavad salvestada sihtkohti, aegu ja mahtusid. Jagatud tunnel paigaldab ainult valitud marsruudid, nii et tavaline sirvimine väljub sinu enda ühenduse kaudu ja seda näeb hoopis sinu teenusepakkuja. Kumbki lahendus ei räägi krüpteerimise tugevusest: HTTPS kaitseb sisu mõlemal juhul ja paljastab sihtkoha mõlemal juhul. Erinevus on marsruutimises ja marsruutimine on nähtav masinas endas.

Klient võib paigaldada ka draiveri, mis kontrollib pakette, käivitada enne ühenduse lubamist tervisekontrolli ja teatada, milline tarkvara on olemas. Need on tarkvara, mitte tunneli võimalused, ja need kehtivad mõlemas marsruutimisrežiimis.

Mida lüüs ja puhverserver säilitavad

Kui vaikimisi marsruut osutab tunnelisse, eelda, et ettevõtte nimeserver ja iga veebipuhverserver peavad arvestust sihtkohtadest, millega ühendust võtsid. Puhverserver logib lisaks krüpteerimata HTTP-päringu päringurea ja HTTPSi jaoks kasutatava CONNECT-sihtkoha, mis on rikkalikum kirje kui voolog. HTTPSi sisu jääb loetamatuks, välja arvatud juhul, kui organisatsioon paigaldas masinasse oma usaldusväärse sertifikaadi, mis on eraldi ja nähtav muudatus. Ainult voo metaandmed on piisavad, et teha kindlaks, millal töötasid ja milliseid teenuseid kasutasid.

Jagatud tunneli puhul väljuvad need avalikud sihtkohad sinu enda ühenduse kaudu, nii et ettevõtte arvestus katab sisemised nimed ja ettevõtte sihtkohad, mitte kõike. See on väiksem arvestus ja siiski mitte tühi. Iga väide, et jagatud tunnel tähendab, et tööandja ei näe midagi, on lihtsalt vale.

DNS näeb nimesid, mida tunnel ei pruugi kanda

Nimede lahendamine on omaette tee ja profiil, mis surub peale ettevõtte nimeserveri, saadab päringud sinna ka siis, kui ühendus väljub kohapeal. Nimeserver salvestab nimed, mida küsisid, mis on sageli teabekam kui aadressid, kuhu jõudsid. Jagatud DNS piirab selle sisemiste domeenidega ja oma krüpteeritud nimeserveriga brauser võib lahendusest täielikult mööda minna. Päringule võivad vastata kolm komponenti ja ainult üks neist kuulub ettevõttele.

Testi lahendamise teed marsruutimise teest eraldi. Päring, mis läheb ettevõtte nimeserverile, samal ajal kui ühendus väljub kohapeal, on jagatud konfiguratsioon, mis töötab nii nagu kavandatud, ja see avaldab ikkagi nimesid.

Kontrolli marsruuti ja jagatavaid ressursse

Kaks fakti otsustavad, mida sa tegelikult paljastad, ja mõlemad on masinas nähtavad. Allolevad käsud näitavad vaikimisi marsruute tõstetud tunneliga, nimede lahendamise teed ja jagatavaid ressursse, mida see arvuti avaldab. Käivita need enne ühendamist ja siis uuesti, kui oled ühendatud.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Vaikimisi marsruut, mis nimetab tunneli adapterit, tähendab, et ettevõte kannab sinu avalikku liiklust, ja vaikimisi marsruut, mis nimetab sinu enda adapterit, tähendab, et ei kanna. Kolmanda käsuga loetletud jagatav ressurss on ettevõtte võrgust kättesaadav, kuni tunnel on tõstetud, isegi kui tavaline hostinimi ei lahendu, ja külalisjuurdepääs muudab selle kättesaadavaks ilma kontota. Tulemüüri profiil on oluline, sest tunneli adapter võib liigitada avalikuks, mis otsustab, kas failide jagamine on üldse lubatud. Loe kõiki nelja koos ja piir kirjeldatakse, mitte ei arvata.

Vali lahendus selle piiri järgi: otsene ühendus annab tööandja tööriistadele suurima ulatuse, ettevõtte seade hoiab tööjärelevalve sinu failidest eemal ja virtuaalmasin isoleerib paigalduse, muutmata seda, kust liiklus väljub. Pane kirja, millise marsruudi ja millised jagatavad ressursid vastu võtsid.