Jaettu vai täysi tunneli: mitä työnantajasi yhä tallentaa

Kysymys tulee yhtenä kysymyksenä, ja se vaatii kaksi vastausta. Tunneli muuttaa sitä, minne pakettisi matkaavat, kun taas asiakasohjelma muuttaa sitä, mitä koneella ajetaan, ja näiden kahden sekoittaminen tuottaa joko väärää turvallisuudentunnetta tai tarpeetonta hälytystä. Erota ne, ja loput vastauksesta seuraa tosiasioista, jotka voit tarkistaa.

Liikenteen puolen päättää reitti, jonka profiili asentaa. Koneen puolen päättävät se, mitä asiakasohjelma tekee, ja se, mitä oma tietokoneesi julkaisee verkossa.

Yksi kysymys kätkee kaksi

Täysi tunneli asentaa oletusreitin yrityksen yhdyskäytävän kautta, joten julkiset pyynnöt lähtevät sieltä ja yhdyskäytävä, sen välityspalvelin ja sen nimipalvelin voivat tallentaa kohteita, aikoja ja määriä. Jaettu tunneli asentaa vain valitut reitit, joten tavallinen selailu lähtee omaa yhteyttäsi pitkin ja sen näkee sen sijaan palveluntarjoajasi. Kumpikaan järjestely ei koske salauksen vahvuutta: HTTPS suojaa sisältöä molemmissa tapauksissa ja paljastaa kohteen molemmissa tapauksissa. Ero on reitityksessä, ja reititys näkyy itse koneella.

Asiakasohjelma voi myös asentaa ohjaimen, joka tarkastaa paketteja, ajaa terveystarkistuksen ennen yhteyden sallimista ja raportoida, mitä ohjelmistoja on läsnä. Ne ovat ohjelmiston, eivät tunnelin ominaisuuksia, ja ne pätevät molemmissa reititystiloissa.

Mitä yhdyskäytävä ja välityspalvelin säilyttävät

Kun oletusreitti osoittaa tunneliin, odota, että yrityksen nimipalvelin ja mikä tahansa verkkopalvelin pitävät kirjaa kohteista, joihin olet ottanut yhteyttä. Välityspalvelin kirjaa lisäksi salaamattoman HTTP-pyynnön pyyntörivin ja HTTPS:ssä käytetyn CONNECT-kohteen, mikä on rikkaampi tietue kuin virtausloki. HTTPS:n sisältö pysyy lukukelvottomana, ellei organisaatio ole asentanut omaa luotettua varmennettaan koneelle, mikä on erillinen ja näkyvä muutos. Pelkät virtauksen metatiedot riittävät siihen, milloin työskentelit ja mitä palveluita käytit.

Jaetussa tunnelissa nuo julkiset kohteet lähtevät omaa yhteyttäsi pitkin, joten yrityksen tietue kattaa sisäiset nimet ja yrityskohteet kaiken sijaan. Se on pienempi tietue, eikä silti tyhjä. Väite, että jaettu tunneli tarkoittaa, ettei työnantaja näe mitään, on yksinkertaisesti väärä.

DNS näkee nimiä, joita tunneli ei välttämättä kanna

Nimien selvitys on oma polkunsa, ja profiili, joka työntää yrityksen nimipalvelimen, lähettää kyselyt sinne myös silloin, kun yhteys lähtee paikallisesti. Nimipalvelin tallentaa nimet, joita kysyit, ja se on usein valaisevampaa kuin saavuttamasi osoitteet. Jaettu DNS rajaa sen sisäisiin verkkotunnuksiin, ja selain, jolla on oma salattu nimipalvelin, voi kiertää järjestelyn kokonaan. Kyselyyn voi vastata kolme osaa, ja vain yksi niistä kuuluu yritykselle.

Testaa selvityspolku erillään reitityspolusta. Kysely, joka menee yrityksen nimipalvelimelle samalla kun yhteys lähtee paikallisesti, on jaettu kokoonpano, joka toimii suunnitellusti, ja se paljastaa silti nimiä.

Tarkista reitti ja jaot

Kaksi tosiasiaa päättää, mitä todella paljastat, ja molemmat näkyvät koneella. Alla olevat komennot näyttävät oletusreitit tunnelin ollessa ylhäällä, nimien selvityspolun ja jaot, jotka tämä tietokone julkaisee. Aja ne ennen yhteyden muodostamista ja sitten uudelleen yhteyden aikana.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Oletusreitti, joka nimeää tunnelin sovittimen, tarkoittaa, että yritys kuljettaa julkisen liikenteesi, ja oletusreitti, joka nimeää oman sovittimesi, tarkoittaa, ettei kuljeta. Kolmannen komennon listaama jako on yritysverkosta tavoitettavissa niin kauan kuin tunneli on ylhäällä, vaikka tavallinen isäntänimi ei selviäisi, ja vieraskäyttö tekee siitä tavoitettavan ilman tiliä. Palomuuriprofiililla on väliä, koska tunnelin sovitin voi luokittua julkiseksi, mikä päättää, sallitaanko tiedostojen jakaminen ylipäätään. Lue kaikki neljä yhdessä, niin raja kuvataan eikä arvata.

Valitse järjestely tuon rajan perusteella: suora yhteys antaa työnantajan työkaluille suurimman ulottuvuuden, yrityksen laite pitää työn seurannan poissa tiedostoistasi, ja virtuaalikone eristää asennuksen muuttamatta sitä, mistä liikenne lähtee. Kirjaa, minkä reitin ja mitkä jaot hyväksyit.