Gedeelten oder vollen Tunnel: wat Ären Patron nach ëmmer opzeechent

D’Fro kënnt als eng Fro, an si brauch zwou Äntwerten. En Tunnel ännert, wou Är Paketen hinneren, während de Client ännert, wat op der Maschinn leeft, an déi zwee ze vermëschen gëtt entweder falsch Berouegung oder onnéideg Alarm. Trennt si, an de Rescht vun der Äntwert kënnt aus Fakten, déi Dir préife kënnt.

D’Hallschent vum Traffic entscheet d’Route, déi de Profil installéiert. D’Hallschent vun der Maschinn entscheet wat de Client mécht an wat Ären eegene Computer um Netz publizéiert.

Eng Fro verstoppt zwou

En vollen Tunnel installéiert eng Standardroute duerch de Gateway vun der Firma, also ginn ëffentlech Ufroe vun do eraus an de Gateway, säi Proxy a säi Resolver kënnen Destinatiounen, Zäiten a Volumen opzeechnen. En gedeelten Tunnel installéiert nëmmen ausgewielt Routen, also geet gewéinlech Surfen duerch Är eege Verbindung eraus an Äre Provider gesäit et amplaz. Keng vun den zwou Arrangementer geet ëm d’Stäerkt vun der Verschlësselung: HTTPS schützt den Inhalt a béide Fäll a verréit d’Destinatioun a béide Fäll. Den Ënnerscheed ass Routing, an Routing ass op der Maschinn selwer ze gesinn.

De Client kann och en Treiber installéieren, deen d’Paketen inspizéiert, e Gesondheetscheck lafe loossen, ier en eng Verbindung erlaabt, a melden, wéi eng Software dobäi ass. Dat sinn Fäegkeete vun der Software an net vum Tunnel, a si gëllen a béide Routingmodi.

Wat de Gateway an de Proxy halen

Wa d’Standardroute an den Tunnel weist, erwaart, datt de Firmenresolver an all Webproxy en Register vun den Destinatiounen halen, déi Dir kontaktéiert hutt. E Proxy loggt zousätzlech d’Ufrozeil vun enger onverschlësselter HTTP-Ufro an d’CONNECT-Destinatioun, déi fir HTTPS benotzt gëtt, wat en räichere Register ass wéi e Flowlog. Den Inhalt bannent HTTPS bleift onliesbar, ausser d’Organisatioun huet hiren eegene vertraute Certificat op der Maschinn installéiert, wat eng getrennt a sichtbar Ännerung ass. Just Flow-Metadaten duer, fir festzestellen, wéini Dir geschafft hutt a wéi eng Servicer Dir benotzt hutt.

Bei engem gedeelten Tunnel ginn déi ëffentlech Destinatiounen duerch Är eege Verbindung eraus, also deckt dem Betrib säi Register intern Nimm a Firmendestinatiounen amplaz vun allem. Dat ass e klengt Register, an nach ëmmer keen eidele. All Behauptung, e gedeelten Tunnel bedeit, de Patron gesäit näischt, ass einfach falsch.

DNS gesäit Nimm, déi den Tunnel vläicht net dréit

Nimmopléisung ass säin eegene Wee, an e Profil, deen de Firmenresolver virschreift, schéckt d’Ufroen dohinner och wann d’Verbindung lokal erausgeet. De Resolver registréiert d’Nimm, déi Dir gefrot hutt, wat dacks méi informativ ass wéi d’Adressen, déi Dir erreecht hutt. Gedeelten DNS beschränkt dat op intern Domainen, an e Browser mat sengem eegene verschlësselte Resolver kann d’Arrangement komplett ëmgoen. Dräi Komponenten kënnen eng Ufro beäntwerten, a just eng dovun gehéiert der Firma.

Test de Opléisungswee getrennt vum Routingwee. Eng Ufro un de Firmenresolver, während d’Verbindung lokal erausgeet, ass eng gedeelt Konfiguratioun, déi wéi geduecht funktionéiert, an si verréit nach ëmmer Nimm.

Préift d’Route an d’Fräigaben

Zwou Fakten entscheeden, wat Dir tatsächlech verroden, an déi zwou si op der Maschinn ze gesinn. Déi Kommandoen hei drënner weisen d’Standardrouten mam Tunnel uewen, den Nimmopléisungswee an d’Fräigaben, déi dësen Computer publizéiert. Fuert se aus, ier Dir verbënnt, an duerno nach eng Kéier, während Dir verbonnen sidd.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Eng Standardroute, déi den Tunneladapter nennt, bedeit, datt d’Firma Ären ëffentlechen Traffic dréit, an eng Standardroute, déi Ären eegenen Adapter nennt, bedeit, datt se et net mécht. Eng Fräigab, déi vum drëtten Kommando opgezielt gëtt, ass aus dem Firmennetz erreechbar, soulaang den Tunnel uewen ass, och wann den normale Hostnumm sech net opléist, a Gaaschtaccess mécht se ouni Kont erreechbar. De Firewallprofil ass wichteg, well en Tunneladapter als ëffentlech klasséiert ka ginn, wat entscheet, ob Dateifräigab iwwerhaapt erlaabt ass. Liest déi véier zesummen an d’Grenz gëtt beschriwwen amplaz geroden.

Wielt d’Arrangement aus där Grenz: eng direkt Verbindung gëtt den Instrumenter vum Patron déi gréisst Reeche, en Firmengerät hält d’Aarbechtsiwwerwaachung vun Äre Fichierer fort, an eng virtuell Maschinn isoléiert d’Installatioun ouni ze änneren, wou den Traffic erausgeet. Notéiert, wéi eng Route a wéi eng Fräigaben Dir akzeptéiert hutt.