Podijeljeni ili puni tunel: što vaš poslodavac i dalje bilježi

Pitanje dolazi kao jedno pitanje, a treba mu dva odgovora. Tunel mijenja kamo putuju vaši paketi, dok klijent mijenja što radi na računalu, a stapanje to dvoje daje ili lažnu sigurnost ili nepotrebnu uzbunu. Razdvojite ih i ostatak odgovora slijedi iz činjenica koje možete provjeriti.

Polovicu o prometu određuje ruta koju profil instalira. Polovicu o računalu određuje što klijent radi i što vaše vlastito računalo objavljuje na mreži.

Jedno pitanje skriva dva

Puni tunel instalira zadanu rutu kroz mrežni prolaz tvrtke, pa javni zahtjevi izlaze odande i prolaz, njegov proxy i njegov razrješivač mogu bilježiti odredišta, vremena i količine. Podijeljeni tunel instalira samo odabrane rute, pa uobičajeno pregledavanje izlazi kroz vašu vlastitu vezu i vaš pružatelj ga vidi umjesto toga. Nijedan raspored nije o snazi enkripcije: HTTPS štiti sadržaj u oba slučaja i otkriva odredište u oba slučaja. Razlika je u usmjeravanju, a usmjeravanje je vidljivo na samom računalu.

Klijent može instalirati i upravljački program koji pregledava pakete, pokrenuti provjeru zdravlja prije nego dopusti vezu i prijaviti koji je softver prisutan. To su mogućnosti softvera, a ne tunela, i vrijede u oba načina usmjeravanja.

Što čuvaju prolaz i proxy

Kada zadana ruta pokazuje u tunel, očekujte da će korporativni razrješivač i bilo koji web proxy držati zapis odredišta s kojima ste stupili u kontakt. Proxy dodatno bilježi redak zahtjeva nešifriranog HTTP zahtjeva i odredište CONNECT korišteno za HTTPS, što je bogatiji zapis od zapisa tokova. Sadržaj unutar HTTPS-a ostaje nečitljiv osim ako organizacija nije instalirala vlastiti pouzdani certifikat na računalo, a to je zasebna i vidljiva promjena. Sami metapodaci toka dovoljni su da se utvrdi kada ste radili i koje ste usluge koristili.

S podijeljenim tunelom ta javna odredišta izlaze kroz vašu vlastitu vezu, pa zapis tvrtke pokriva unutarnja imena i korporativna odredišta umjesto svega. To je manji zapis i još uvijek nije prazan. Svaka tvrdnja da podijeljeni tunel znači da poslodavac ne vidi ništa jednostavno je pogrešna.

DNS vidi imena koja tunel možda ne prenosi

Razrješavanje imena vlastiti je put, a profil koji gura korporativni razrješivač šalje pretrage tamo čak i kada veza izlazi lokalno. Razrješivač bilježi imena koja ste tražili, što je često informativnije od adresa do kojih ste došli. Podijeljeni DNS to ograničava na unutarnje domene, a preglednik s vlastitim šifriranim razrješivačem može u potpunosti zaobići raspored. Tri komponente mogu odgovoriti na pretragu, a samo jedna od njih pripada tvrtki.

Testirajte put razrješavanja odvojeno od puta usmjeravanja. Pretraga koja ide prema korporativnom razrješivaču dok veza izlazi lokalno jest podijeljena konfiguracija koja radi kako je zamišljeno, i ona još uvijek otkriva imena.

Provjerite rutu i dijeljene resurse

Dvije činjenice odlučuju što zapravo izlažete i obje su vidljive na računalu. Naredbe u nastavku prikazuju zadane rute s podignutim tunelom, put razrješavanja imena i dijeljene resurse koje ovo računalo objavljuje. Pokrenite ih prije povezivanja, pa ponovno dok ste povezani.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Zadana ruta koja imenuje adapter tunela znači da tvrtka nosi vaš javni promet, a zadana ruta koja imenuje vaš vlastiti adapter znači da ne nosi. Dijeljeni resurs koji navede treća naredba dostupan je s korporativne mreže dok je tunel podignut, čak i kada se uobičajeno ime hosta ne razrješava, a gostujući pristup čini ga dostupnim bez računa. Profil vatrozida je važan jer se adapter tunela može klasificirati kao javni, što odlučuje je li dijeljenje datoteka uopće dopušteno. Pročitajte sve četiri zajedno i granica će biti opisana, a ne nagađana.

Odaberite raspored prema toj granici: izravna veza daje alatima poslodavca najveći doseg, uređaj tvrtke drži nadzor rada podalje od vaših datoteka, a virtualni stroj izolira instalaciju bez mijenjanja toga odakle promet izlazi. Zabilježite koju ste rutu i koje dijeljene resurse prihvatili.