מנהרה מפוצלת או מלאה: מה המעסיק שלכם עדיין מתעד

השאלה מגיעה כשאלה אחת, והיא דורשת שתי תשובות. מנהרה משנה לאן החבילות שלכם נוסעות, ואילו הלקוח משנה מה פועל במחשב, וערבוב של השניים מייצר או הרגעה שווא או בהלה מיותרת. הפרידו ביניהם ושאר התשובה נובע מעובדות שאתם יכולים לבדוק.

חצי התעבורה נקבע על ידי הנתיב שהפרופיל מתקין. חצי המחשב נקבע על ידי מה שהלקוח עושה ומה שהמחשב שלכם עצמו מפרסם ברשת.

שאלה אחת מסתירה שתיים

מנהרה מלאה מתקינה נתיב ברירת מחדל דרך השער של החברה, כך שבקשות ציבוריות יוצאות משם והשער, הפרוקסי והפותר שלו יכולים לתעד יעדים, זמנים ונפחים. מנהרה מפוצלת מתקינה רק נתיבים נבחרים, כך שגלישה רגילה יוצאת דרך החיבור שלכם וספק השירות שלכם רואה אותה במקום. אף אחד מהסדרים אינו עוסק בחוזק ההצפנה: HTTPS מגן על התוכן בשני המקרים ומגלה את היעד בשני המקרים. ההבדל הוא בניתוב, והניתוב גלוי במחשב עצמו.

הלקוח יכול גם להתקין מנהל התקן שבוחן חבילות, להריץ בדיקת תקינות לפני שהוא מתיר חיבור, ולדווח איזו תוכנה נוכחת. אלו יכולות של התוכנה ולא של המנהרה, והן חלות בשני מצבי הניתוב.

מה השער והפרוקסי שומרים

כשנתיב ברירת המחדל מצביע אל תוך המנהרה, צפו שהפותר הארגוני וכל פרוקסי רשת יחזיקו תיעוד של היעדים שאיתם יצרתם קשר. פרוקסי גם רושם את שורת הבקשה של בקשת HTTP לא מוצפנת ואת יעד ה-CONNECT המשמש ל-HTTPS, שזה תיעוד עשיר יותר מיומן זרימה. התוכן בתוך HTTPS נשאר בלתי קריא אלא אם הארגון התקין במחשב תעודה מהימנה משל עצמו, וזה שינוי נפרד וגלוי. מטא-נתוני זרימה לבדם מספיקים כדי לקבוע מתי עבדתם ואילו שירותים השתמשתם.

עם מנהרה מפוצלת היעדים הציבוריים האלה יוצאים דרך הקישור שלכם, כך שהתיעוד של החברה מכסה שמות פנימיים ויעדים ארגוניים במקום הכול. זה תיעוד קטן יותר, ועדיין לא ריק. כל טענה שמנהרה מפוצלת אומרת שהמעסיק לא רואה דבר היא פשוט שגויה.

DNS רואה שמות שהמנהרה אולי לא נושאת

פתרון שמות הוא נתיב משל עצמו, ופרופיל שדוחף את הפותר הארגוני שולח לשם שאילתות גם כשהחיבור יוצא מקומית. הפותר רושם את השמות שביקשתם, וזה לעתים קרובות מאלף יותר מהכתובות שהגעתם אליהן. DNS מפוצל מגביל זאת לתחומים פנימיים, ודפדפן עם פותר מוצפן משל עצמו יכול לעקוף את הסידור לגמרי. שלושה רכיבים יכולים לענות לשאילתה, ורק אחד מהם שייך לחברה.

בדקו את נתיב הפתרון בנפרד מנתיב הניתוב. שאילתה שהולכת לפותר הארגוני בזמן שהחיבור יוצא מקומית היא תצורה מפוצלת שעובדת כמתוכנן, והיא עדיין חושפת שמות.

בדקו את הנתיב ואת השיתופים

שתי עובדות קובעות מה אתם באמת חושפים, ושתיהן גלויות במחשב. הפקודות שלמטה מציגות את נתיבי ברירת המחדל כשהמנהרה פעילה, את נתיב פתרון השמות ואת השיתופים שהמחשב הזה מפרסם. הריצו אותן לפני ההתחברות ואחר כך שוב בזמן שאתם מחוברים.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

נתיב ברירת מחדל שמציין את מתאם המנהרה אומר שהחברה נושאת את התעבורה הציבורית שלכם, ונתיב ברירת מחדל שמציין את המתאם שלכם אומר שהיא לא נושאת אותה. שיתוף שהפקודה השלישית מפרטת נגיש מהרשת הארגונית כשהמנהרה פעילה, גם כששם המארח הרגיל אינו נפתר, וגישת אורח הופכת אותו לנגיש בלי חשבון. פרופיל חומת האש חשוב כי מתאם מנהרה יכול להיות מסווג כציבורי, וזה קובע אם שיתוף קבצים מותר בכלל. קראו את הארבעה יחד והגבול מתואר ולא מנוחש.

בחרו את הסידור מתוך הגבול הזה: חיבור ישיר נותן לכלים של המעסיק את הטווח הגדול ביותר, מכשיר של החברה מרחיק ניטור עבודה מהקבצים שלכם, ומכונה וירטואלית מבודדת את ההתקנה בלי לשנות מאיפה התעבורה יוצאת. תעדו איזה נתיב ואילו שיתופים קיבלתם.