Tunel berpecah atau penuh: apa yang masih direkodkan oleh majikan anda

Soalan datang sebagai satu soalan, dan ia memerlukan dua jawapan. Tunel mengubah ke mana paket anda pergi, manakala klien mengubah apa yang berjalan pada mesin, dan mencampurkan kedua-duanya menghasilkan sama ada ketenangan palsu atau kebimbangan yang tidak perlu. Pisahkan kedua-duanya dan selebihnya jawapan itu datang daripada fakta yang boleh anda semak.

Separuh trafik ditentukan oleh laluan yang dipasang oleh profil. Separuh mesin ditentukan oleh apa yang dilakukan klien dan apa yang diterbitkan oleh komputer anda sendiri pada rangkaian.

Satu soalan menyembunyikan dua

Tunel penuh memasang laluan lalai melalui get laluan syarikat, jadi permintaan awam keluar dari situ dan get laluan itu, proksinya dan penyelesainya boleh merekod destinasi, masa dan jumlah. Tunel berpecah hanya memasang laluan terpilih, jadi pelayaran biasa keluar melalui sambungan anda sendiri dan penyedia anda melihatnya sebagai ganti. Tidak ada satu pun susunan ini tentang kekuatan penyulitan: HTTPS melindungi kandungan dalam kedua-dua kes dan mendedahkan destinasi dalam kedua-dua kes. Bezanya ialah penghalaan, dan penghalaan kelihatan pada mesin itu sendiri.

Klien juga boleh memasang pemacu yang memeriksa paket, menjalankan pemeriksaan kesihatan sebelum membenarkan sambungan, dan melaporkan perisian apa yang hadir. Itu keupayaan perisian, bukan tunel, dan ia terpakai dalam kedua-dua mod penghalaan.

Apa yang disimpan oleh get laluan dan proksi

Apabila laluan lalai menunjuk ke dalam tunel, jangkakan penyelesai korporat dan mana-mana proksi web menyimpan rekod destinasi yang anda hubungi. Proksi juga mencatat baris permintaan bagi permintaan HTTP tanpa penyulitan dan destinasi CONNECT yang digunakan untuk HTTPS, yang merupakan rekod lebih kaya daripada log aliran. Kandungan di dalam HTTPS kekal tidak boleh dibaca melainkan organisasi telah memasang sijil dipercayainya sendiri pada mesin, yang merupakan perubahan berasingan dan kelihatan. Metadata aliran sahaja sudah cukup untuk menetapkan bila anda bekerja dan perkhidmatan mana yang anda gunakan.

Dengan tunel berpecah, destinasi awam itu keluar melalui pautan anda sendiri, jadi rekod syarikat meliputi nama dalaman dan destinasi korporat dan bukan segala-galanya. Itu rekod yang lebih kecil, dan masih bukan rekod kosong. Sebarang dakwaan bahawa tunel berpecah bermakna majikan tidak melihat apa-apa adalah jelas salah.

DNS melihat nama yang mungkin tidak dibawa oleh tunel

Penyelesaian nama ialah laluannya sendiri, dan profil yang memaksa penyelesai korporat menghantar carian ke sana walaupun sambungan keluar secara setempat. Penyelesai merekod nama yang anda minta, yang selalunya lebih bermaklumat daripada alamat yang anda capai. DNS berpecah mengehadkannya kepada domain dalaman, dan pelayar dengan penyelesai berenkripsi sendiri boleh memintas susunan itu sepenuhnya. Tiga komponen boleh menjawab carian, dan hanya satu daripadanya milik syarikat.

Uji laluan penyelesaian secara berasingan daripada laluan penghalaan. Carian yang pergi ke penyelesai korporat sementara sambungan keluar secara setempat ialah konfigurasi berpecah yang berfungsi seperti direka, dan ia masih mendedahkan nama.

Semak laluan dan perkongsian

Dua fakta menentukan apa yang sebenarnya anda dedahkan, dan kedua-duanya kelihatan pada mesin. Arahan di bawah menunjukkan laluan lalai dengan tunel aktif, laluan penyelesaian nama, dan perkongsian yang diterbitkan oleh komputer ini. Jalankannya sebelum menyambung, kemudian sekali lagi semasa bersambung.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Laluan lalai yang menamakan penyesuai tunel bermakna syarikat membawa trafik awam anda, dan laluan lalai yang menamakan penyesuai anda sendiri bermakna ia tidak berbuat demikian. Perkongsian yang disenaraikan oleh arahan ketiga boleh dicapai dari rangkaian korporat semasa tunel aktif, walaupun nama hos biasa tidak diselesaikan, dan akses tetamu menjadikannya boleh dicapai tanpa akaun. Profil tembok api penting kerana penyesuai tunel boleh dikelaskan sebagai awam, yang menentukan sama ada perkongsian fail dibenarkan sama sekali. Baca keempat-empatnya bersama-sama dan sempadan itu diterangkan dan bukan diteka.

Pilih susunan itu daripada sempadan tersebut: sambungan langsung memberi alat majikan jangkauan terbesar, peranti syarikat menjauhkan pemantauan kerja daripada fail anda, dan mesin maya mengasingkan pemasangan tanpa mengubah dari mana trafik keluar. Catat laluan dan perkongsian mana yang anda terima.