分割トンネルか全トンネルか：雇用主がそれでも記録するもの

問いは一つとして届きますが、答えは二つ必要です。トンネルはパケットがどこを通るかを変え、クライアントはマシン上で何が動くかを変えます。この二つを混同すると、偽の安心か、不要な警戒のどちらかが生まれます。切り分ければ、残りの答えは自分で確かめられる事実から導けます。

通信の半分は、プロファイルが入れるルートで決まります。マシンの半分は、クライアントが何をするかと、あなた自身のコンピューターがネットワーク上で何を公開するかで決まります。

一つの問いは二つを隠す

全トンネルは会社のゲートウェイ経由の既定ルートを入れるので、公開宛ての要求はそこから出て、ゲートウェイ、そのプロキシ、そのリゾルバーが宛先、時刻、量を記録できます。分割トンネルは選んだルートだけを入れるので、通常の閲覧は自分の回線から出て、代わりにプロバイダーが見ます。どちらの構成も暗号化の強さの話ではありません。HTTPS はどちらの場合も中身を守り、どちらの場合も宛先を明かします。違いはルーティングであり、ルーティングはマシン自体で見えます。

クライアントは、パケットを検査するドライバーを入れ、接続を許す前に状態チェックを走らせ、どんなソフトウェアがあるかを報告することもできます。これらはトンネルではなくソフトウェアの機能で、どちらのルーティング方式でも当てはまります。

ゲートウェイとプロキシが残すもの

既定ルートがトンネルを指しているときは、社内リゾルバーとウェブプロキシが、接続した宛先の記録を持つと考えてください。プロキシはさらに、暗号化されていない HTTP 要求の要求行と、HTTPS に使われる CONNECT の宛先を記録します。これはフローログより豊かな記録です。HTTPS の中身は読めないままですが、組織が独自の信頼済み証明書をマシンに入れている場合は別で、それは別個で目に見える変更です。フローのメタデータだけでも、いつ働いていたか、どのサービスを使ったかは分かります。

分割トンネルでは、それらの公開宛先は自分の回線から出るので、会社の記録はすべてではなく、社内の名前と社内宛先を対象にします。それはより小さな記録で、しかも空ではありません。分割トンネルなら雇用主には何も見えないという主張は、単純に誤りです。

DNS はトンネルが運ばない名前を見る

名前解決はそれ自体が別の経路で、社内リゾルバーを押し込むプロファイルは、接続がローカルから出るときでも問い合わせをそこへ送ります。リゾルバーは問い合わせた名前を記録し、それは到達したアドレスより多くのことを語ることがよくあります。分割 DNS はそれを社内ドメインに限り、独自の暗号化リゾルバーを持つブラウザーはこの仕組みを完全に迂回できます。問い合わせに答えられる部品は三つあり、そのうち会社に属するのは一つだけです。

解決の経路は、ルーティングの経路とは別に試してください。接続がローカルから出ているのに問い合わせが社内リゾルバーへ行くのは、設計どおりに動く分割構成であり、それでも名前は明かされます。

ルートと共有を確認する

実際に何を露出しているかは二つの事実で決まり、どちらもマシン上で見えます。次のコマンドは、トンネルを上げた状態の既定ルート、名前解決の経路、このコンピューターが公開している共有を示します。接続する前に実行し、接続中にもう一度実行してください。

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

既定ルートがトンネルのアダプターを指していれば会社が公開宛ての通信を運び、自分のアダプターを指していれば運びません。三つ目のコマンドが挙げる共有は、トンネルが上がっている間、通常のホスト名が解決しないときでも社内ネットワークから到達でき、ゲストアクセスがあればアカウントなしでも到達できます。ファイアウォールのプロファイルが重要なのは、トンネルのアダプターがパブリックとして分類され得るからで、それがファイル共有を許すかどうかを決めます。四つをまとめて読めば、境界は推測ではなく記述されます。

その境界から構成を選んでください。直接接続は雇用主のツールに最大の到達範囲を与え、会社の機器は仕事の監視をあなたのファイルから遠ざけ、仮想マシンは通信の出口を変えずに導入を隔離します。どのルートとどの共有を受け入れたかを記録してください。