Túnel dividido ou completo: o que o teu empregador aínda rexistra

A pregunta chega como unha soa pregunta e necesita dúas respostas. Un túnel cambia a onde viaxan os teus paquetes, mentres que o cliente cambia que se executa na máquina, e confundir ambas as cousas produce ou unha falsa tranquilidade ou unha alarma innecesaria. Sepáraas e o resto da resposta despréndese de feitos que podes comprobar.

A metade do tráfico decídea a ruta que instala o perfil. A metade da máquina decídea o que fai o cliente e o que publica o teu propio ordenador na rede.

Unha pregunta agocha dúas

Un túnel completo instala unha ruta predeterminada a través da pasarela da empresa, así que as peticións públicas saen de alí e a pasarela, o seu proxy e o seu resolutor poden rexistrar destinos, horas e volumes. Un túnel dividido só instala rutas seleccionadas, así que a navegación habitual sae pola túa propia conexión e o teu provedor vésa no seu lugar. Ningún dos dous arranxos trata da forza do cifrado: HTTPS protexe o contido en ambos os casos e revela o destino en ambos os casos. A distinción é o encamiñamento, e o encamiñamento é visible na propia máquina.

O cliente tamén pode instalar un controlador que inspecciona paquetes, executar unha comprobación de estado antes de permitir unha conexión e informar de que software está presente. Son capacidades do software, non do túnel, e aplícanse en ambos os modos de encamiñamento.

Que gardan a pasarela e o proxy

Coa ruta predeterminada apuntando ao túnel, espera que o resolutor corporativo e calquera proxy web garden un rexistro dos destinos cos que contactaches. Un proxy ademais rexistra a liña de petición dunha solicitude HTTP sen cifrar e o destino CONNECT usado para HTTPS, que é un rexistro máis rico que un rexistro de fluxos. O contido dentro de HTTPS segue sendo ilexible a menos que a organización instalase o seu propio certificado de confianza na máquina, o que é un cambio aparte e visible. Os metadatos de fluxo por si sós abondan para establecer cando traballabas e que servizos usabas.

Cun túnel dividido eses destinos públicos saen pola túa propia ligazón, así que o rexistro da empresa cobre nomes internos e destinos corporativos en lugar de todo. É un rexistro máis pequeno, e aínda non está baleiro. Calquera afirmación de que un túnel dividido significa que o empregador non ve nada é simplemente falsa.

O DNS ve nomes que o túnel quizais non transporte

A resolución de nomes é un camiño propio, e un perfil que impón o resolutor corporativo envía alí as consultas incluso cando a conexión sae localmente. O resolutor rexistra os nomes que pediches, o que a miúdo é máis informativo que os enderezos que acadaches. O DNS dividido limita iso a dominios internos, e un navegador co seu propio resolutor cifrado pode evitar o arranxo por completo. Tres compoñentes poden responder unha consulta, e só un deles pertence á empresa.

Proba o camiño de resolución por separado do camiño de encamiñamento. Unha consulta que vai ao resolutor corporativo mentres a conexión sae localmente é unha configuración dividida que funciona segundo o deseño, e segue revelando nomes.

Comproba a ruta e os recursos compartidos

Dous feitos deciden que estás expondo realmente, e ambos son visibles na máquina. Os comandos seguintes amosan as rutas predeterminadas co túnel activo, o camiño de resolución de nomes e os recursos compartidos que publica este ordenador. Execútaos antes de conectarte e despois outra vez mentres estás conectado.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Unha ruta predeterminada que nomea o adaptador do túnel significa que a empresa transporta o teu tráfico público, e unha ruta predeterminada que nomea o teu propio adaptador significa que non o fai. Un recurso compartido listado polo terceiro comando é alcanzable desde a rede corporativa mentres o túnel está activo, mesmo cando o nome de host habitual non se resolve, e o acceso de convidado faino alcanzable sen conta. O perfil da devasa importa porque un adaptador de túnel pode clasificarse como público, o que decide se se permite compartir ficheiros. Le os catro xuntos e o límite queda descrito en lugar de adiviñado.

Escolle o arranxo a partir dese límite: unha conexión directa dá ás ferramentas do empregador o maior alcance, un dispositivo da empresa mantén a monitorización laboral lonxe dos teus ficheiros, e unha máquina virtual illa a instalación sen cambiar por onde sae o tráfico. Anota que ruta e que recursos compartidos aceptaches.