분할 터널인가 전체 터널인가: 고용주가 여전히 기록하는 것

질문은 하나로 오지만 답은 둘이 필요합니다. 터널은 패킷이 어디로 가는지를 바꾸고, 클라이언트는 기기에서 무엇이 실행되는지를 바꿉니다. 이 둘을 섞으면 거짓 안심이나 불필요한 경계가 생깁니다. 둘을 나누면 나머지 답은 직접 확인할 수 있는 사실에서 나옵니다.

트래픽의 절반은 프로필이 설치하는 경로가 정합니다. 기기의 절반은 클라이언트가 하는 일과 당신의 컴퓨터가 네트워크에 공개하는 것이 정합니다.

하나의 질문은 둘을 감춘다

전체 터널은 회사 게이트웨이를 지나는 기본 경로를 설치하므로 공개 요청은 그곳에서 나가고 게이트웨이, 그 프록시, 그 리졸버가 목적지와 시각과 양을 기록할 수 있습니다. 분할 터널은 선택한 경로만 설치하므로 평소의 탐색은 당신의 연결로 나가고 대신 당신의 공급자가 그것을 봅니다. 어느 배치도 암호화 강도의 문제가 아닙니다. HTTPS는 두 경우 모두 내용을 보호하고 두 경우 모두 목적지를 드러냅니다. 차이는 라우팅이고, 라우팅은 기기 자체에서 보입니다.

클라이언트는 패킷을 검사하는 드라이버를 설치하고, 연결을 허용하기 전에 상태 점검을 실행하고, 어떤 소프트웨어가 있는지 보고할 수도 있습니다. 이것은 터널이 아니라 소프트웨어의 기능이며 두 라우팅 모드 모두에 적용됩니다.

게이트웨이와 프록시가 남기는 것

기본 경로가 터널을 가리키면 회사 리졸버와 모든 웹 프록시가 당신이 접촉한 목적지의 기록을 보관한다고 보십시오. 프록시는 또한 암호화되지 않은 HTTP 요청의 요청 줄과 HTTPS에 쓰이는 CONNECT 목적지를 기록하는데, 이는 흐름 로그보다 풍부한 기록입니다. HTTPS 안의 내용은 조직이 기기에 자체 신뢰 인증서를 설치한 경우가 아니면 읽을 수 없고, 그것은 별개이며 눈에 보이는 변경입니다. 흐름 메타데이터만으로도 언제 일했고 어떤 서비스를 썼는지 확인할 수 있습니다.

분할 터널에서는 그 공개 목적지가 당신의 연결로 나가므로 회사 기록은 전부가 아니라 내부 이름과 회사 목적지를 다룹니다. 그것은 더 작은 기록이며 여전히 비어 있지 않습니다. 분할 터널이면 고용주가 아무것도 보지 못한다는 주장은 그냥 틀렸습니다.

DNS는 터널이 나르지 않을 수 있는 이름을 본다

이름 해석은 그 자체의 경로이고, 회사 리졸버를 밀어 넣는 프로필은 연결이 로컬로 나갈 때도 조회를 그곳으로 보냅니다. 리졸버는 당신이 요청한 이름을 기록하는데, 그것은 도달한 주소보다 더 많은 것을 알려 주는 경우가 많습니다. 분할 DNS는 그것을 내부 도메인으로 제한하고, 자체 암호화 리졸버가 있는 브라우저는 이 배치를 완전히 우회할 수 있습니다. 조회에 답할 수 있는 구성 요소는 셋이고, 그중 회사에 속한 것은 하나뿐입니다.

해석 경로를 라우팅 경로와 따로 시험하십시오. 연결이 로컬로 나가는데 조회가 회사 리졸버로 가는 것은 설계대로 작동하는 분할 구성이며, 그래도 이름은 드러납니다.

경로와 공유를 확인한다

실제로 무엇을 노출하는지는 두 사실이 정하고, 둘 다 기기에서 보입니다. 아래 명령은 터널이 올라간 상태의 기본 경로, 이름 해석 경로, 이 컴퓨터가 공개하는 공유를 보여 줍니다. 연결하기 전에 실행하고, 연결된 동안 다시 실행하십시오.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

기본 경로가 터널 어댑터를 가리키면 회사가 당신의 공개 트래픽을 나르고, 당신의 어댑터를 가리키면 나르지 않습니다. 세 번째 명령이 나열한 공유는 터널이 올라간 동안 회사 네트워크에서 도달할 수 있고, 평소의 호스트 이름이 해석되지 않을 때도 그렇습니다. 게스트 액세스가 있으면 계정 없이도 도달할 수 있습니다. 방화벽 프로필이 중요한 이유는 터널 어댑터가 공용으로 분류될 수 있기 때문이고, 그것이 파일 공유 허용 여부를 정합니다. 넷을 함께 읽으면 경계는 추측이 아니라 설명이 됩니다.

그 경계에서 배치를 고르십시오. 직접 연결은 고용주의 도구에 가장 넓은 도달 범위를 주고, 회사 기기는 업무 모니터링을 당신의 파일과 떨어뜨려 두며, 가상 머신은 트래픽이 나가는 곳을 바꾸지 않고 설치를 격리합니다. 어떤 경로와 어떤 공유를 받아들였는지 적어 두십시오.