Delt eller full tunnel: kva arbeidsgjevaren din framleis registrerer

Spørsmålet kjem som eitt spørsmål, og det treng to svar. Ein tunnel endrar kvar pakkane dine reiser, medan klienten endrar kva som køyrer på maskina, og å blande dei to gir anten falsk tryggleik eller unødig alarm. Skil dei, og resten av svaret følgjer av fakta du sjølv kan kontrollere.

Trafikkhalvdelen blir avgjord av ruta profilen installerer. Maskinhalvdelen blir avgjord av kva klienten gjer, og kva din eigen datamaskin publiserer på nettverket.

Eitt spørsmål skjuler to

Ein full tunnel installerer ei standardrute gjennom gatewayen til verksemda, så offentlege førespurnader går ut derfrå, og gatewayen, proxien og resolveren kan registrere destinasjonar, tidspunkt og volum. Ein delt tunnel installerer berre utvalde ruter, så vanleg nettsurfing går ut gjennom di eiga tilkopling, og tilbydaren din ser han i staden. Ingen av dei to ordningane handlar om krypteringsstyrke: HTTPS vernar innhaldet i begge tilfelle og avdekkjer destinasjonen i begge tilfelle. Skilnaden er ruting, og ruting er synleg på sjølve maskina.

Klienten kan også installere ein drivar som inspiserer pakkar, køyre ein tilstandssjekk før han tillèt ei tilkopling, og rapportere kva programvare som er til stades. Det er evnene til programvara og ikkje til tunnelen, og dei gjeld i begge rutingmodusane.

Kva gatewayen og proxien held på

Når standardruta peikar inn i tunnelen, bør du rekne med at resolveren til verksemda og ein kvar nettproxy fører ei oversikt over destinasjonane du har kontakta. Ein proxy loggar i tillegg førespurnadslinja til ein ukryptert HTTP-førespurnad og CONNECT-destinasjonen som blir brukt for HTTPS, noko som er ei rikare registrering enn ein flytlogg. Innhaldet i HTTPS blir verande uleseleg med mindre organisasjonen har installert sitt eige klarerte sertifikat på maskina, som er ei separat og synleg endring. Flytmetadata åleine er nok til å fastslå når du arbeidde og kva tenester du brukte.

Med ein delt tunnel går desse offentlege destinasjonane ut gjennom di eiga tilkopling, så registreringa til verksemda dekkjer interne namn og verksemdsdestinasjonar i staden for alt. Det er ei mindre registrering, og framleis ikkje ei tom. Eit kvar påstand om at ein delt tunnel betyr at arbeidsgjevaren ikkje ser noko, er rett og slett feil.

DNS ser namn tunnelen kanskje ikkje ber

Namneoppslag er sin eigen veg, og ein profil som pressar på resolveren til verksemda, sender oppslag dit sjølv når tilkoplinga går ut lokalt. Resolveren registrerer namna du bad om, noko som ofte er meir informativt enn adressene du nådde. Delt DNS avgrensar dette til interne domene, og ein nettlesar med sin eigen krypterte resolver kan omgå ordninga heilt. Tre komponentar kan svare på eit oppslag, og berre éin av dei høyrer til verksemda.

Test oppslagsvegen åtskild frå rutingvegen. Eit oppslag som går til resolveren til verksemda medan tilkoplinga går ut lokalt, er ein delt konfigurasjon som verkar som tenkt, og han avdekkjer framleis namn.

Sjekk ruta og delingane

To fakta avgjer kva du faktisk eksponerer, og begge er synlege på maskina. Kommandoane nedanfor viser standardrutene med tunnelen oppe, vegen for namneoppslag og delingane denne datamaskina publiserer. Køyr dei før du koplar til, og deretter igjen medan du er tilkopla.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Ei standardrute som namngjev tunneleadapteren, betyr at verksemda ber den offentlege trafikken din, og ei standardrute som namngjev din eigen adapter, betyr at ho ikkje gjer det. Ei deling som er oppført av den tredje kommandoen, er tilgjengeleg frå verksemdsnettet medan tunnelen er oppe, sjølv når det vanlege vertsnamnet ikkje blir løyst opp, og gjestetilgang gjer ho tilgjengeleg utan konto. Brannmurprofilen betyr noko fordi ein tunneleadapter kan klassifiserast som offentleg, noko som avgjer om fildeling er tillaten i det heile. Les dei fire saman, og grensa blir skildra i staden for gjeta.

Vel ordninga ut frå den grensa: ei direkte tilkopling gir verktøya til arbeidsgjevaren størst rekkjevidd, ei verksemdseining held arbeidsovervaking borte frå filene dine, og ei virtuell maskin isolerer installasjonen utan å endre kvar trafikken går ut. Noter kva rute og kva delingar du godtok.