Padalintas ar visas tunelis: ką jūsų darbdavys vis dar įrašo

Klausimas ateina kaip vienas klausimas, o jam reikia dviejų atsakymų. Tunelis keičia, kur keliauja jūsų paketai, o klientas keičia, kas veikia kompiuteryje, ir abiejų sumaišymas duoda arba klaidingą ramybę, arba nereikalingą nerimą. Atskirkite juos, ir likęs atsakymas kyla iš faktų, kuriuos galite patikrinti.

Srauto pusę nusprendžia maršrutas, kurį įdiegia profilis. Kompiuterio pusę nusprendžia tai, ką daro klientas, ir tai, ką jūsų pačių kompiuteris skelbia tinkle.

Vienas klausimas slepia du

Visas tunelis įdiegia numatytąjį maršrutą per įmonės tinklą, todėl viešos užklausos išeina iš ten, o tinklas, jo proxy ir jo resolveris gali fiksuoti tikslus, laikus ir apimtis. Padalintas tunelis įdiegia tik pasirinktus maršrutus, todėl įprastas naršymas išeina per jūsų pačių ryšį ir jį mato jūsų tiekėjas. Nei viena tvarka nėra apie šifravimo stiprumą: HTTPS saugo turinį abiem atvejais ir atskleidžia tikslą abiem atvejais. Skirtumas yra maršrutizavime, o maršrutizavimas matomas pačiame kompiuteryje.

Klientas taip pat gali įdiegti tvarkyklę, kuri tikrina paketus, prieš leisdama ryšį atlikti būsenos patikrą ir pranešti, kokia programinė įranga yra. Tai programinės įrangos, o ne tunelio galimybės, ir jos galioja abiem maršrutizavimo režimais.

Ką išsaugo tinklas ir proxy

Kai numatytasis maršrutas rodo į tunelį, tikėkitės, kad įmonės resolveris ir bet kuris žiniatinklio proxy laikys užfiksuotų tikslų sąrašą. Proxy papildomai registruoja neužšifruotos HTTP užklausos užklausos eilutę ir HTTPS naudojamą CONNECT tikslą, o tai turtingesnis įrašas nei srauto žurnalas. Turinys HTTPS viduje lieka neperskaitomas, nebent organizacija įdiegė savo patikimą sertifikatą kompiuteryje, o tai atskiras ir matomas pakeitimas. Vien srauto metaduomenų pakanka nustatyti, kada dirbote ir kokias paslaugas naudojote.

Su padalintu tuneliu tie vieši tikslai išeina per jūsų pačių ryšį, todėl įmonės įrašas apima vidinius vardus ir įmonės tikslus, o ne viską. Tai mažesnis įrašas ir vis dar ne tuščias. Bet koks teiginys, kad padalintas tunelis reiškia, jog darbdavys nieko nemato, yra tiesiog klaidingas.

DNS mato vardus, kurių tunelis gali nenešti

Vardų sprendimas yra atskiras kelias, o profilis, kuris primeta įmonės resolverį, siunčia užklausas ten net tada, kai ryšys išeina vietoje. Resolveris įrašo vardus, kurių prašėte, ir tai dažnai informatyviau nei adresai, kuriuos pasiekėte. Padalintas DNS tai apriboja vidiniais domenais, o naršyklė su savo šifruotu resolveriu gali visiškai apeiti tvarką. Užklausą gali atsakyti trys komponentai, ir tik vienas jų priklauso įmonei.

Tikrinkite sprendimo kelią atskirai nuo maršrutizavimo kelio. Užklausa į įmonės resolverį, kai ryšys išeina vietoje, yra padalinta konfigūracija, veikianti kaip suprojektuota, ir ji vis tiek atskleidžia vardus.

Patikrinkite maršrutą ir bendrinimus

Du faktai nusprendžia, ką iš tikrųjų atskleidžiate, ir abu matomi kompiuteryje. Žemiau pateiktos komandos rodo numatytuosius maršrutus su pakeltu tuneliu, vardų sprendimo kelią ir bendrinimus, kuriuos skelbia šis kompiuteris. Vykdykite jas prieš prisijungdami, o paskui dar kartą, kol esate prisijungę.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Numatytasis maršrutas, nurodantis tunelio adapterį, reiškia, kad įmonė neša jūsų viešą srautą, o numatytasis, nurodantis jūsų pačių adapterį, reiškia, kad neneša. Trečios komandos išvardytas bendrinimas pasiekiamas iš įmonės tinklo, kol tunelis pakeltas, net kai įprastas pagrindinio kompiuterio vardas neišsprendžiamas, o svečio prieiga padaro jį pasiekiamą be paskyros. Ugniasienės profilis svarbus, nes tunelio adapteris gali būti klasifikuojamas kaip viešas, o tai nusprendžia, ar failų bendrinimas apskritai leidžiamas. Skaitykite visus keturis kartu ir riba bus aprašyta, o ne spėjama.

Pasirinkite tvarką pagal tą ribą: tiesioginis ryšys duoda darbdavio įrankiams didžiausią pasiekiamumą, įmonės įrenginys laiko darbo stebėjimą toli nuo jūsų failų, o virtualioji mašina izoliuoja įdiegimą nekeisdama, iš kur išeina srautas. Užsirašykite, kokį maršrutą ir kokius bendrinimus priėmėte.