Osztott vagy teljes alagút: mit rögzít még mindig a munkáltatója

A kérdés egyetlen kérdésként érkezik, és két választ igényel. Az alagút megváltoztatja, hová utaznak a csomagjai, a kliens pedig azt változtatja meg, mi fut a gépen, és a kettő összekeverése vagy hamis megnyugvást, vagy szükségtelen riadalmat kelt. Válassza szét őket, és a válasz többi része olyan tényekből következik, amelyeket ellenőrizhet.

A forgalom felét a profil által telepített útvonal dönti el. A gép felét az dönti el, mit tesz a kliens, és mit tesz közzé a saját számítógépe a hálózaton.

Egy kérdés kettőt rejt

A teljes alagút alapértelmezett útvonalat telepít a vállalat átjáróján keresztül, így a nyilvános kérések onnan lépnek ki, és az átjáró, a proxyja és a feloldója rögzítheti a célokat, időpontokat és mennyiségeket. Az osztott alagút csak kiválasztott útvonalakat telepít, így a szokásos böngészés a saját kapcsolatán keresztül lép ki, és helyette a szolgáltatója látja. Egyik elrendezés sem a titkosítás erősségéről szól: a HTTPS mindkét esetben védi a tartalmat, és mindkét esetben felfedi a célt. A különbség az útválasztás, és az útválasztás magán a gépen látható.

A kliens telepíthet olyan illesztőprogramot is, amely ellenőrzi a csomagokat, állapotellenőrzést futtathat, mielőtt engedélyez egy kapcsolatot, és jelentheti, milyen szoftver van jelen. Ezek a szoftver, nem az alagút képességei, és mindkét útválasztási módban érvényesek.

Mit őriz meg az átjáró és a proxy

Amikor az alapértelmezett útvonal az alagútba mutat, számítson arra, hogy a vállalati feloldó és bármely webes proxy nyilvántartja a felkeresett célokat. A proxy ezen felül naplózza egy titkosítatlan HTTP-kérés kérésorát és a HTTPS-hez használt CONNECT célt, ami gazdagabb feljegyzés a folyamnaplónál. A HTTPS-en belüli tartalom olvashatatlan marad, hacsak a szervezet nem telepítette a saját megbízható tanúsítványát a gépre, ami külön és látható változtatás. A folyam metaadatai önmagukban elegendők annak megállapításához, mikor dolgozott és milyen szolgáltatásokat használt.

Osztott alagút esetén ezek a nyilvános célok a saját kapcsolatán keresztül lépnek ki, így a vállalat feljegyzése belső neveket és vállalati célokat fed le minden helyett. Ez kisebb feljegyzés, és még mindig nem üres. Bármely állítás, hogy az osztott alagút azt jelenti, a munkáltató semmit sem lát, egyszerűen téves.

A DNS olyan neveket lát, amelyeket az alagút esetleg nem visz

A névfeloldás saját út, és a vállalati feloldót előíró profil oda küldi a lekérdezéseket akkor is, amikor a kapcsolat helyben lép ki. A feloldó rögzíti a kért neveket, ami gyakran tanulságosabb, mint az elért címek. Az osztott DNS belső tartományokra korlátozza ezt, és a saját titkosított feloldóval rendelkező böngésző teljesen megkerülheti az elrendezést. Három összetevő válaszolhat egy lekérdezésre, és közülük csak egy tartozik a vállalathoz.

A feloldási utat az útválasztási úttól elkülönítve tesztelje. A vállalati feloldóhoz menő lekérdezés, miközben a kapcsolat helyben lép ki, tervezés szerint működő osztott konfiguráció, és még mindig felfedi a neveket.

Ellenőrizze az útvonalat és a megosztásokat

Két tény dönti el, mit tesz valójában közzé, és mindkettő látható a gépen. Az alábbi parancsok megmutatják az alapértelmezett útvonalakat felemelt alagúttal, a névfeloldási utat és azokat a megosztásokat, amelyeket ez a számítógép közzétesz. Futtassa őket csatlakozás előtt, majd újra, miközben csatlakozva van.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Az alagút adapterét megnevező alapértelmezett útvonal azt jelenti, a vállalat szállítja a nyilvános forgalmát, a saját adapterét megnevező alapértelmezett útvonal pedig azt, hogy nem. A harmadik parancs által felsorolt megosztás elérhető a vállalati hálózatról, amíg az alagút fel van emelve, akkor is, ha a szokásos gazdagépnév nem oldódik fel, és a vendéghozzáférés fiók nélkül elérhetővé teszi. A tűzfalprofil számít, mert az alagút adaptere nyilvánosként sorolható be, ami eldönti, hogy a fájlmegosztás egyáltalán engedélyezett-e. Olvassa a négyet együtt, és a határ leírva lesz, nem kitalálva.

Válassza az elrendezést e határ alapján: a közvetlen kapcsolat adja a munkáltató eszközeinek a legnagyobb elérést, a vállalati eszköz távol tartja a munkafelügyeletet a fájljaitól, a virtuális gép pedig elkülöníti a telepítést anélkül, hogy megváltoztatná, honnan lép ki a forgalom. Jegyezze fel, melyik útvonalat és mely megosztásokat fogadta el.