Tunnel fractionné ou complet : ce que votre employeur enregistre encore

La question arrive comme une seule question, et elle exige deux réponses. Un tunnel change où voyagent vos paquets, tandis que le client change ce qui s’exécute sur la machine, et confondre les deux produit soit une fausse assurance, soit une alarme inutile. Séparez-les et le reste de la réponse découle de faits que vous pouvez vérifier.

La moitié du trafic est décidée par la route que le profil installe. La moitié de la machine est décidée par ce que fait le client et par ce que votre propre ordinateur publie sur le réseau.

Une question en cache deux

Un tunnel complet installe une route par défaut via la passerelle de l’entreprise, si bien que les requêtes publiques partent de là et que la passerelle, son proxy et son résolveur peuvent enregistrer destinations, heures et volumes. Un tunnel fractionné n’installe que des routes choisies, si bien que la navigation ordinaire sort par votre propre connexion et que votre fournisseur la voit à la place. Aucun des deux arrangements ne porte sur la force du chiffrement : HTTPS protège le contenu dans les deux cas et révèle la destination dans les deux cas. La distinction est le routage, et le routage est visible sur la machine elle-même.

Le client peut aussi installer un pilote qui inspecte les paquets, exécuter un contrôle d’état avant d’autoriser une connexion et signaler quels logiciels sont présents. Ce sont des capacités du logiciel et non du tunnel, et elles s’appliquent dans les deux modes de routage.

Ce que la passerelle et le proxy conservent

Avec la route par défaut pointée dans le tunnel, attendez-vous à ce que le résolveur d’entreprise et tout proxy web tiennent un registre des destinations contactées. Un proxy journalise en plus la ligne de requête d’une requête HTTP non chiffrée et la destination CONNECT utilisée pour HTTPS, ce qui est un enregistrement plus riche qu’un journal de flux. Le contenu à l’intérieur de HTTPS reste illisible, sauf si l’organisation a installé son propre certificat de confiance sur la machine, ce qui est un changement distinct et visible. Les métadonnées de flux suffisent à elles seules à établir quand vous travailliez et quels services vous utilisiez.

Avec un tunnel fractionné, ces destinations publiques sortent par votre propre liaison, si bien que le registre de l’entreprise couvre les noms internes et les destinations d’entreprise au lieu de tout. C’est un registre plus petit, et toujours pas vide. Toute affirmation selon laquelle un tunnel fractionné signifie que l’employeur ne voit rien est tout simplement fausse.

Le DNS voit des noms que le tunnel ne transporte pas forcément

La résolution de noms est un chemin à part, et un profil qui impose le résolveur d’entreprise y envoie les requêtes même lorsque la connexion sort localement. Le résolveur enregistre les noms demandés, ce qui est souvent plus instructif que les adresses atteintes. Le DNS fractionné limite cela aux domaines internes, et un navigateur doté de son propre résolveur chiffré peut contourner entièrement l’arrangement. Trois composants peuvent répondre à une requête, et un seul appartient à l’entreprise.

Testez le chemin de résolution séparément du chemin de routage. Une requête vers le résolveur d’entreprise alors que la connexion sort localement est une configuration fractionnée qui fonctionne comme prévu, et elle divulgue quand même des noms.

Vérifiez la route et les partages

Deux faits décident de ce que vous exposez réellement, et les deux sont visibles sur la machine. Les commandes ci-dessous montrent les routes par défaut avec le tunnel actif, le chemin de résolution de noms et les partages que cet ordinateur publie. Exécutez-les avant de vous connecter, puis de nouveau pendant la connexion.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Une route par défaut qui nomme l’adaptateur du tunnel signifie que l’entreprise transporte votre trafic public, et une route par défaut qui nomme votre propre adaptateur signifie qu’elle ne le fait pas. Un partage listé par la troisième commande est joignable depuis le réseau d’entreprise tant que le tunnel est actif, même lorsque le nom d’hôte ordinaire ne se résout pas, et l’accès invité le rend joignable sans compte. Le profil du pare-feu compte parce qu’un adaptateur de tunnel peut être classé public, ce qui décide si le partage de fichiers est autorisé. Lisez les quatre ensemble et la frontière est décrite plutôt que devinée.

Choisissez l’arrangement à partir de cette frontière : une connexion directe donne aux outils de l’employeur la portée maximale, un appareil d’entreprise garde la surveillance du travail loin de vos fichiers, et une machine virtuelle isole l’installation sans changer par où sort le trafic. Notez quelle route et quels partages vous avez acceptés.