Поделен или целосен тунел: што и понатаму запишува вашиот работодавач

Прашањето доаѓа како едно прашање, а бара два одговора. Тунелот менува каде патуваат вашите пакети, додека клиентот менува што работи на машината, а спојувањето на двете дава или лажна сигурност или непотребна вознемиреност. Одделете ги и остатокот од одговорот произлегува од факти што можете да ги проверите.

Половината за сообраќајот ја одлучува рутата што ја инсталира профилот. Половината за машината ја одлучуваат тоа што го прави клиентот и тоа што вашиот сопствен компјутер го објавува на мрежата.

Едно прашање крие две

Целосниот тунел инсталира стандардна рута низ портата на компанијата, така што јавните барања излегуваат оттаму и портата, нејзиниот прокси и нејзиниот решавач можат да ги запишат одредиштата, времињата и обемот. Поделениот тунел инсталира само избрани рути, така што вообичаеното прелистување излегува низ вашата сопствена врска и наместо тоа го гледа вашиот давател. Ниту едната поставеност не е за јачината на шифрирањето: HTTPS го штити содржината во двата случаи и го открива одредиштето во двата случаи. Разликата е во рутирањето, а рутирањето е видливо на самата машина.

Клиентот може да инсталира и драјвер што ги проверува пакетите, да изврши проверка на состојбата пред да дозволи врска и да пријави кој софтвер е присутен. Тоа се можности на софтверот, а не на тунелот, и важат во двата режима на рутирање.

Што чуваат портата и проксито

Кога стандардната рута покажува во тунелот, очекувајте корпоративниот решавач и секое веб-прокси да држат запис за одредиштата со кои сте контактирале. Проксито дополнително ја запишува линијата на барање на нешифрирано HTTP барање и одредиштето CONNECT што се користи за HTTPS, што е побогат запис од дневник на текови. Содржината внатре во HTTPS останува нечитлива, освен ако организацијата не го инсталирала својот доверлив сертификат на машината, што е одделна и видлива промена. Само метаподатоците за текот се доволни за да се утврди кога сте работеле и кои услуги сте ги користеле.

Со поделен тунел тие јавни одредишта излегуваат низ вашата сопствена врска, така што записот на компанијата опфаќа внатрешни имиња и корпоративни одредишта наместо сите. Тоа е помал запис и и понатаму не е празен. Секое тврдење дека поделениот тунел значи работодавачот не гледа ништо е едноставно погрешно.

DNS гледа имиња што тунелот можеби не ги носи

Решавањето имиња е свој пат, а профилот што го наметнува корпоративниот решавач праќа барања таму дури и кога врската излегува локално. Решавачот ги запишува имињата што сте ги побарале, што е често поучно од адресите до кои стигнавте. Поделениот DNS го ограничува тоа на внатрешни домени, а прелистувачот со сопствен шифриран решавач може целосно да ја заобиколи поставеноста. Три компоненти можат да одговорат на барање, а само една од нив и припаѓа на компанијата.

Тестирајте го патот на решавање одделно од патот на рутирање. Барањето што оди до корпоративниот решавач додека врската излегува локално е поделена конфигурација што работи како што е замислена, и таа и понатаму открива имиња.

Проверете ја рутата и споделените ресурси

Два факти одлучуваат што навистина откривате и двата се видливи на машината. Командите подолу ги прикажуваат стандардните рути со подигнат тунел, патот на решавање имиња и споделените ресурси што ги објавува овој компјутер. Извршете ги пред да се поврзете, а потоа повторно додека сте поврзани.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Стандардна рута што го именува адаптерот на тунелот значи дека компанијата го носи вашиот јавен сообраќај, а стандардна рута што го именува вашиот сопствен адаптер значи дека не го носи. Споделен ресурс наведен од третата команда е достапен од корпоративната мрежа додека тунелот е подигнат, дури и кога вообичаеното име на домаќин не се решава, а гостувачкиот пристап го прави достапен без сметка. Профилот на заштитниот ѕид е важен затоа што адаптерот на тунелот може да се класифицира како јавен, што одлучува дали споделувањето датотеки е воопшто дозволено. Прочитајте ги четирите заедно и границата ќе биде опишана, а не претпоставена.

Изберете ја поставеноста од таа граница: директната врска им дава на алатките на работодавачот најголем дофат, уредот на компанијата го држи надзорот на работата далеку од вашите датотеки, а виртуелната машина ја изолира инсталацијата без да менува од каде излегува сообраќајот. Запишете која рута и кои споделени ресурси сте ги прифатиле.