Sadalīts vai pilns tunelis: ko jūsu darba devējs joprojām reģistrē

Jautājums nāk kā viens jautājums, un tam vajadzīgas divas atbildes. Tunelis maina, kur ceļo jūsu paketes, bet klients maina, kas darbojas mašīnā, un abu sajaukšana rada vai nu viltus drošības sajūtu, vai nevajadzīgu satraukumu. Atdaliet tos, un pārējā atbilde izriet no faktiem, ko varat pārbaudīt.

Datplūsmas pusi nosaka maršruts, ko instalē profils. Mašīnas pusi nosaka tas, ko dara klients, un tas, ko jūsu paša dators publicē tīklā.

Viens jautājums slēpj divus

Pilns tunelis instalē noklusējuma maršrutu caur uzņēmuma vārteju, tāpēc publiskie pieprasījumi iziet no turienes, un vārteja, tās starpniekserveris un tās atrisinātājs var reģistrēt galamērķus, laikus un apjomus. Sadalīts tunelis instalē tikai atlasītus maršrutus, tāpēc parastā pārlūkošana iziet caur jūsu paša savienojumu, un to redz jūsu pakalpojumu sniedzējs. Neviens no abiem izkārtojumiem nav par šifrēšanas stiprumu: HTTPS aizsargā saturu abos gadījumos un atklāj galamērķi abos gadījumos. Atšķirība ir maršrutēšanā, un maršrutēšana ir redzama pašā mašīnā.

Klients var arī instalēt draiveri, kas pārbauda paketes, pirms atļaut savienojumu veikt veselības pārbaudi un ziņot, kāda programmatūra ir klāt. Tās ir programmatūras, nevis tuneļa iespējas, un tās attiecas abos maršrutēšanas režīmos.

Ko glabā vārteja un starpniekserveris

Kad noklusējuma maršruts norāda tunelī, gaidiet, ka uzņēmuma atrisinātājs un jebkurš tīmekļa starpniekserveris glabās reģistru par galamērķiem, ar kuriem sazinājāties. Starpniekserveris papildus reģistrē nešifrēta HTTP pieprasījuma pieprasījuma rindu un HTTPS izmantoto CONNECT galamērķi, kas ir bagātāks ieraksts nekā plūsmas žurnāls. Saturs HTTPS iekšienē paliek neizlasāms, ja vien organizācija nav instalējusi savu uzticamo sertifikātu mašīnā, kas ir atsevišķas un redzamas izmaiņas. Ar plūsmas metadatiem vien pietiek, lai noteiktu, kad strādājāt un kādus pakalpojumus izmantojāt.

Ar sadalītu tuneli šie publiskie galamērķi iziet caur jūsu paša saiti, tāpēc uzņēmuma reģistrs aptver iekšējos nosaukumus un uzņēmuma galamērķus, nevis visu. Tas ir mazāks reģistrs, un joprojām ne tukšs. Jebkurš apgalvojums, ka sadalīts tunelis nozīmē, ka darba devējs neko neredz, ir vienkārši nepareizs.

DNS redz nosaukumus, ko tunelis var nepārvadāt

Nosaukumu atrisināšana ir savs ceļš, un profils, kas uzspiež uzņēmuma atrisinātāju, sūta vaicājumus turp arī tad, kad savienojums iziet lokāli. Atrisinātājs reģistrē nosaukumus, ko pieprasījāt, un tas bieži ir informatīvāk nekā sasniegtās adreses. Sadalīts DNS to ierobežo ar iekšējiem domēniem, un pārlūks ar savu šifrēto atrisinātāju var pilnībā apiet izkārtojumu. Uz vaicājumu var atbildēt trīs komponenti, un tikai viens no tiem pieder uzņēmumam.

Pārbaudiet atrisināšanas ceļu atsevišķi no maršrutēšanas ceļa. Vaicājums uz uzņēmuma atrisinātāju, kamēr savienojums iziet lokāli, ir sadalīta konfigurācija, kas darbojas kā projektēta, un tā joprojām atklāj nosaukumus.

Pārbaudiet maršrutu un koplietojumus

Divi fakti nosaka, ko jūs faktiski atklājat, un abi ir redzami mašīnā. Tālāk esošās komandas parāda noklusējuma maršrutus ar paceltu tuneli, nosaukumu atrisināšanas ceļu un koplietojumus, ko šis dators publicē. Izpildiet tās pirms pieslēgšanās un pēc tam vēlreiz, kamēr esat pieslēgts.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Noklusējuma maršruts, kas nosauc tuneļa adapteri, nozīmē, ka uzņēmums pārvadā jūsu publisko datplūsmu, un noklusējuma maršruts, kas nosauc jūsu paša adapteri, nozīmē, ka nepārvadā. Koplietojums, ko uzskaita trešā komanda, ir sasniedzams no uzņēmuma tīkla, kamēr tunelis ir pacelts, pat ja parastais resursdatora nosaukums neatrisinās, un viesa piekļuve padara to sasniedzamu bez konta. Ugunsmūra profils ir svarīgs, jo tuneļa adapteri var klasificēt kā publisku, un tas nosaka, vai failu koplietošana vispār ir atļauta. Lasiet visus četrus kopā, un robeža tiks aprakstīta, nevis minēta.

Izvēlieties izkārtojumu pēc šīs robežas: tiešs savienojums dod darba devēja rīkiem lielāko sasniedzamību, uzņēmuma ierīce tur darba uzraudzību tālu no jūsu failiem, un virtuālā mašīna izolē instalāciju, nemainot to, no kurienes iziet datplūsma. Pierakstiet, kuru maršrutu un kādus koplietojumus pieņēmāt.