Tunnel terpisah atau penuh: apa yang tetap dicatat atasan Anda

Pertanyaan datang sebagai satu pertanyaan, dan perlu dua jawaban. Tunnel mengubah ke mana paket Anda pergi, sedangkan klien mengubah apa yang berjalan di mesin, dan mencampur keduanya menghasilkan rasa aman yang palsu atau kepanikan yang tak perlu. Pisahkan keduanya dan sisa jawabannya mengikuti fakta yang bisa Anda periksa.

Separuh soal lalu lintas ditentukan oleh rute yang dipasang profil. Separuh soal mesin ditentukan oleh apa yang dilakukan klien dan apa yang diterbitkan komputer Anda sendiri di jaringan.

Satu pertanyaan menyembunyikan dua

Tunnel penuh memasang rute bawaan melalui gateway perusahaan, sehingga permintaan publik keluar dari sana dan gateway, proxy, serta resolver-nya dapat mencatat tujuan, waktu, dan volume. Tunnel terpisah hanya memasang rute terpilih, sehingga penjelajahan biasa keluar melalui koneksi Anda sendiri dan penyedia Anda yang melihatnya. Tidak ada dari kedua susunan yang soal kekuatan enkripsi: HTTPS melindungi isi dalam kedua kasus dan mengungkap tujuan dalam kedua kasus. Bedanya adalah perutean, dan perutean terlihat di mesin itu sendiri.

Klien juga dapat memasang driver yang memeriksa paket, menjalankan pemeriksaan kesehatan sebelum mengizinkan koneksi, dan melaporkan perangkat lunak apa yang ada. Itu kemampuan perangkat lunak, bukan tunnel, dan berlaku pada kedua mode perutean.

Apa yang disimpan gateway dan proxy

Saat rute bawaan mengarah ke dalam tunnel, perkirakan resolver korporat dan proxy web mana pun menyimpan catatan tujuan yang Anda hubungi. Proxy juga mencatat baris permintaan dari permintaan HTTP tanpa enkripsi dan tujuan CONNECT yang dipakai untuk HTTPS, yang merupakan catatan lebih kaya daripada log aliran. Isi di dalam HTTPS tetap tidak terbaca kecuali organisasi telah memasang sertifikat tepercayanya sendiri di mesin, yang merupakan perubahan terpisah dan terlihat. Metadata aliran saja cukup untuk memastikan kapan Anda bekerja dan layanan apa yang Anda pakai.

Dengan tunnel terpisah, tujuan publik itu keluar melalui tautan Anda sendiri, sehingga catatan perusahaan mencakup nama internal dan tujuan korporat alih-alih semuanya. Itu catatan yang lebih kecil, dan tetap bukan catatan kosong. Klaim apa pun bahwa tunnel terpisah berarti atasan tidak melihat apa pun jelas salah.

DNS melihat nama yang mungkin tidak dibawa tunnel

Resolusi nama adalah jalurnya sendiri, dan profil yang memaksa resolver korporat mengirim pencarian ke sana bahkan ketika koneksi keluar secara lokal. Resolver mencatat nama yang Anda minta, yang sering kali lebih informatif daripada alamat yang Anda capai. DNS terpisah membatasinya pada domain internal, dan peramban dengan resolver terenkripsi sendiri dapat melewati susunan itu sepenuhnya. Tiga komponen dapat menjawab pencarian, dan hanya satu di antaranya milik perusahaan.

Uji jalur resolusi secara terpisah dari jalur perutean. Pencarian yang menuju resolver korporat sementara koneksi keluar secara lokal adalah konfigurasi terpisah yang bekerja sesuai rancangan, dan tetap mengungkap nama.

Periksa rute dan share

Dua fakta menentukan apa yang sebenarnya Anda buka, dan keduanya terlihat di mesin. Perintah di bawah ini menunjukkan rute bawaan saat tunnel aktif, jalur resolusi nama, dan share yang diterbitkan komputer ini. Jalankan sebelum tersambung, lalu lagi saat tersambung.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Rute bawaan yang menyebut adaptor tunnel berarti perusahaan membawa lalu lintas publik Anda, dan rute bawaan yang menyebut adaptor Anda sendiri berarti tidak. Share yang terdaftar oleh perintah ketiga dapat dijangkau dari jaringan korporat selama tunnel aktif, bahkan ketika nama host biasa tidak ter-resolve, dan akses tamu membuatnya dapat dijangkau tanpa akun. Profil firewall penting karena adaptor tunnel dapat diklasifikasikan sebagai publik, yang menentukan apakah berbagi file diizinkan sama sekali. Baca keempatnya bersama-sama dan batasnya digambarkan, bukan ditebak.

Pilih susunannya dari batas itu: koneksi langsung memberi alat atasan jangkauan terbesar, perangkat perusahaan menjauhkan pemantauan kerja dari berkas Anda, dan mesin virtual mengisolasi pemasangan tanpa mengubah dari mana lalu lintas keluar. Catat rute dan share mana yang Anda terima.