Gesplitst of volledig tunnel: wat je werkgever nog steeds registreert

De vraag komt als één vraag, en ze heeft twee antwoorden nodig. Een tunnel verandert waar je pakketten naartoe reizen, terwijl de client verandert wat er op de machine draait, en die twee door elkaar halen levert ofwel valse geruststelling ofwel onnodig alarm op. Scheid ze en de rest van het antwoord volgt uit feiten die je kunt controleren.

De helft over verkeer wordt bepaald door de route die het profiel installeert. De helft over de machine wordt bepaald door wat de client doet en wat je eigen computer op het netwerk publiceert.

Eén vraag verbergt er twee

Een volledige tunnel installeert een standaardroute via de gateway van het bedrijf, dus openbare verzoeken vertrekken daar en de gateway, zijn proxy en zijn resolver kunnen bestemmingen, tijden en volumes vastleggen. Een gesplitste tunnel installeert alleen geselecteerde routes, dus gewoon browsen gaat via je eigen verbinding naar buiten en je provider ziet het in plaats daarvan. Geen van beide opstellingen gaat over de sterkte van versleuteling: HTTPS beschermt de inhoud in beide gevallen en onthult de bestemming in beide gevallen. Het verschil is routering, en routering is zichtbaar op de machine zelf.

De client kan ook een stuurprogramma installeren dat pakketten inspecteert, een gezondheidscontrole uitvoeren voordat hij een verbinding toestaat, en melden welke software aanwezig is. Dat zijn mogelijkheden van de software en niet van de tunnel, en ze gelden in beide routeringsmodi.

Wat de gateway en de proxy bewaren

Als de standaardroute naar de tunnel wijst, verwacht dan dat de bedrijfsresolver en elke webproxy een overzicht bijhouden van de bestemmingen die je hebt benaderd. Een proxy logt daarnaast de verzoekregel van een onversleuteld HTTP-verzoek en de CONNECT-bestemming die voor HTTPS wordt gebruikt, wat een rijker overzicht is dan een flowlog. De inhoud binnen HTTPS blijft onleesbaar, tenzij de organisatie haar eigen vertrouwde certificaat op de machine heeft geïnstalleerd, wat een aparte en zichtbare wijziging is. Flowmetadata alleen is genoeg om vast te stellen wanneer je werkte en welke diensten je gebruikte.

Met een gesplitste tunnel gaan die openbare bestemmingen via je eigen verbinding naar buiten, dus het overzicht van het bedrijf dekt interne namen en bedrijfsbestemmingen in plaats van alles. Dat is een kleiner overzicht, en nog steeds geen leeg. Elke bewering dat een gesplitste tunnel betekent dat de werkgever niets ziet, is simpelweg onjuist.

DNS ziet namen die de tunnel mogelijk niet draagt

Naamresolutie is een eigen pad, en een profiel dat de bedrijfsresolver opdringt, stuurt opzoekingen daarheen zelfs wanneer de verbinding lokaal naar buiten gaat. De resolver registreert de namen die je vroeg, wat vaak informatiever is dan de adressen die je bereikte. Gesplitste DNS beperkt dat tot interne domeinen, en een browser met een eigen versleutelde resolver kan de opstelling volledig omzeilen. Drie componenten kunnen een opzoeking beantwoorden, en slechts één daarvan is van het bedrijf.

Test het resolutiepad apart van het routeringspad. Een opzoeking naar de bedrijfsresolver terwijl de verbinding lokaal naar buiten gaat, is een gesplitste configuratie die werkt zoals bedoeld, en ze onthult nog steeds namen.

Controleer de route en de shares

Twee feiten bepalen wat je werkelijk blootlegt, en beide zijn zichtbaar op de machine. De opdrachten hieronder tonen de standaardroutes met de tunnel actief, het pad voor naamresolutie en de shares die deze computer publiceert. Voer ze uit voordat je verbindt, en daarna opnieuw terwijl je verbonden bent.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Een standaardroute die de tunneladapter noemt, betekent dat het bedrijf je openbare verkeer draagt, en een standaardroute die je eigen adapter noemt, betekent dat het dat niet doet. Een share die door de derde opdracht wordt vermeld, is bereikbaar vanaf het bedrijfsnetwerk zolang de tunnel actief is, zelfs wanneer de gewone hostnaam niet wordt opgelost, en gasttoegang maakt hem bereikbaar zonder account. Het firewallprofiel is belangrijk omdat een tunneladapter als openbaar kan worden geclassificeerd, wat bepaalt of bestandsshares überhaupt zijn toegestaan. Lees de vier samen en de grens wordt beschreven in plaats van geraden.

Kies de opstelling op basis van die grens: een directe verbinding geeft de hulpmiddelen van de werkgever het grootste bereik, een bedrijfsapparaat houdt werkmonitoring weg van je bestanden, en een virtuele machine isoleert de installatie zonder te veranderen waar het verkeer naar buiten gaat. Noteer welke route en welke shares je hebt geaccepteerd.