გაყოფილი თუ სრული გვირაბი: რას კვლავ იწერს თქვენი დამსაქმებელი

კითხვა მოდის როგორც ერთი კითხვა და ორ პასუხს მოითხოვს. გვირაბი ცვლის, სად მიემართებიან თქვენი პაკეტები, ხოლო კლიენტი ცვლის, რა მუშაობს მანქანაზე, და ამ ორის არევა იძლევა ან ცრუ სიმშვიდეს, ან ზედმეტ შფოთს. გამოყავით ისინი და პასუხის დანარჩენი ნაწილი გამომდინარეობს ფაქტებიდან, რომელთა შემოწმებაც შეგიძლიათ.

ტრაფიკის ნახევარს განსაზღვრავს მარშრუტი, რომელსაც პროფილი აყენებს. მანქანის ნახევარს განსაზღვრავს ის, რასაც კლიენტი აკეთებს და ის, რასაც თქვენი კომპიუტერი აქვეყნებს ქსელში.

ერთი კითხვა ორს მალავს

სრული გვირაბი აყენებს ნაგულისხმევ მარშრუტს კომპანიის კარიბჭის გავლით, ამიტომ საჯარო მოთხოვნები იქიდან გადის და კარიბჭეს, მის პროქსისა და მის ამომხსნელს შეუძლიათ დააფიქსირონ დანიშნულებები, დრო და მოცულობები. გაყოფილი გვირაბი მხოლოდ არჩეულ მარშრუტებს აყენებს, ამიტომ ჩვეულებრივი დათვალიერება თქვენივე კავშირით გადის და სამაგიეროდ თქვენი პროვაიდერი ხედავს მას. არც ერთი წყობა არ არის დაშიფვრის სიძლიერეზე: HTTPS ორივე შემთხვევაში იცავს შიგთავსს და ორივე შემთხვევაში ამჟღავნებს დანიშნულებას. განსხვავება მარშრუტიზაციაშია და მარშრუტიზაცია თავად მანქანაზე ჩანს.

კლიენტს ასევე შეუძლია დააყენოს დრაივერი, რომელიც პაკეტებს ამოწმებს, კავშირის დაშვებამდე ჯანმრთელობის შემოწმებას ატარებს და იუწყება, რა პროგრამული უზრუნველყოფაა წარმოდგენილი. ეს პროგრამის და არა გვირაბის შესაძლებლობებია და ორივე მარშრუტიზაციის რეჟიმში მოქმედებს.

რას ინახავენ კარიბჭე და პროქსი

როცა ნაგულისხმევი მარშრუტი გვირაბის შიგნით მიუთითებს, მოელოდეთ, რომ კორპორატიული ამომხსნელი და ნებისმიერი ვებპროქსი შეინახავს ჩანაწერს იმ დანიშნულებებისა, რომლებსაც დაუკავშირდით. პროქსი დამატებით აღრიცხავს დაუშიფრავი HTTP მოთხოვნის მოთხოვნის სტრიქონს და HTTPS-ისთვის გამოყენებულ CONNECT დანიშნულებას, რაც უფრო მდიდარი ჩანაწერია, ვიდრე ნაკადის ჟურნალი. HTTPS-ის შიგნით შიგთავსი წაუკითხავი რჩება, თუ ორგანიზაციამ მანქანაზე საკუთარი სანდო სერტიფიკატი არ დააყენა, რაც ცალკე და თვალსაჩინო ცვლილებაა. მხოლოდ ნაკადის მეტამონაცემები საკმარისია იმის დასადგენად, როდის მუშაობდით და რომელი სერვისებით სარგებლობდით.

გაყოფილი გვირაბის დროს ეს საჯარო დანიშნულებები თქვენივე კავშირით გადის, ამიტომ კომპანიის ჩანაწერი ფარავს შიდა სახელებსა და კორპორატიულ დანიშნულებებს და არა ყველაფერს. ეს უფრო მცირე ჩანაწერია და მაინც არ არის ცარიელი. ნებისმიერი მტკიცება, რომ გაყოფილი გვირაბი ნიშნავს, რომ დამსაქმებელი ვერაფერს ხედავს, უბრალოდ მცდარია.

DNS ხედავს სახელებს, რომლებსაც გვირაბი შეიძლება არ ატარებდეს

სახელების ამოხსნა თავისი ცალკე გზაა და კორპორატიული ამომხსნელის დამკვიდრებელი პროფილი მოთხოვნებს იქ აგზავნის მაშინაც, როცა კავშირი ლოკალურად გადის. ამომხსნელი აღრიცხავს სახელებს, რომლებიც ითხოვეთ, რაც ხშირად უფრო ინფორმაციულია, ვიდრე მიღწეული მისამართები. გაყოფილი DNS ამას შიდა დომენებით ზღუდავს და საკუთარი დაშიფრული ამომხსნელის მქონე ბრაუზერს შეუძლია მთლიანად გვერდი აუაროს წყობას. მოთხოვნას სამი კომპონენტი შეიძლება პასუხობდეს და მათგან მხოლოდ ერთი ეკუთვნის კომპანიას.

შეამოწმეთ ამოხსნის გზა ცალკე მარშრუტიზაციის გზისგან. მოთხოვნა, რომელიც კორპორატიულ ამომხსნელთან მიდის, სანამ კავშირი ლოკალურად გადის, დიზაინისამებრ მომუშავე გაყოფილი კონფიგურაციაა და ის მაინც ამჟღავნებს სახელებს.

შეამოწმეთ მარშრუტი და გაზიარებები

ორი ფაქტი წყვეტს, რას ამჟღავნებთ სინამდვილეში და ორივე მანქანაზე ჩანს. ქვემოთ მოცემული ბრძანებები აჩვენებს ნაგულისხმევ მარშრუტებს გვირაბის აწეული მდგომარეობით, სახელების ამოხსნის გზას და გაზიარებებს, რომლებსაც ეს კომპიუტერი აქვეყნებს. გაუშვით ისინი დაკავშირებამდე და შემდეგ კიდევ ერთხელ, დაკავებული ყოფნისას.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

ნაგულისხმევი მარშრუტი, რომელიც გვირაბის ადაპტერს ასახელებს, ნიშნავს, რომ კომპანია თქვენს საჯარო ტრაფიკს ატარებს, ხოლო საკუთარი ადაპტერის მასახელებელი ნაგულისხმევი მარშრუტი ნიშნავს, რომ არ ატარებს. მესამე ბრძანების მიერ ჩამოთვლილი გაზიარება კორპორატიული ქსელიდან ხელმისაწვდომია, სანამ გვირაბი აწეულია, მაშინაც კი, როცა ჩვეულებრივი ჰოსტის სახელი არ იხსნება, და სტუმრის წვდომა მას ანგარიშის გარეშე ხელმისაწვდომს ხდის. ფაილების გაზიარება საერთოდ თუ დაშვებულია, ამას წყვეტს ქსელური დაცვის პროფილი, რადგან გვირაბის ადაპტერი შეიძლება საჯაროდ დააკლასიფიცირდეს. წაიკითხეთ ოთხივე ერთად და საზღვარი აღწერილი იქნება და არა გამოცნობილი.

აირჩიეთ წყობა ამ საზღვრიდან: პირდაპირი კავშირი დამსაქმებლის ხელსაწყოებს უდიდეს წვდომას აძლევს, კომპანიის მოწყობილობა სამუშაოს მონიტორინგს თქვენი ფაილებისგან მოშორებით ინახავს, ხოლო ვირტუალური მანქანა ინსტალაციას იზოლირებს, თუმცა არ ცვლის, საიდან გადის ტრაფიკი. ჩაიწერეთ, რომელი მარშრუტი და რომელი გაზიარებები მიიღეთ.