Delt eller full tunnel: hva arbeidsgiveren din fortsatt registrerer

Spørsmålet kommer som ett spørsmål, og det trenger to svar. En tunnel endrer hvor pakkene dine reiser, mens klienten endrer hva som kjører på maskinen, og å blande de to gir enten falsk trygghet eller unødig alarm. Skill dem, og resten av svaret følger av fakta du selv kan kontrollere.

Trafikkhalvdelen avgjøres av ruten profilen installerer. Maskinhalvdelen avgjøres av hva klienten gjør, og hva din egen datamaskin publiserer på nettverket.

Ett spørsmål skjuler to

En full tunnel installerer en standardrute gjennom bedriftens gateway, så offentlige forespørsler går ut derfra, og gatewayen, proxien og resolveren kan registrere destinasjoner, tidspunkter og volum. En delt tunnel installerer bare utvalgte ruter, så vanlig nettlesing går ut gjennom din egen forbindelse, og tilbyderen din ser den i stedet. Ingen av de to ordningene handler om krypteringsstyrke: HTTPS beskytter innholdet i begge tilfeller og avslører destinasjonen i begge tilfeller. Forskjellen er ruting, og ruting er synlig på selve maskinen.

Klienten kan også installere en driver som inspiserer pakker, kjøre en tilstandssjekk før den tillater en forbindelse, og rapportere hvilken programvare som er til stede. Det er programvarens evner og ikke tunnelens, og de gjelder i begge rutingmodiene.

Hva gatewayen og proxien beholder

Når standardruten peker inn i tunnelen, bør du regne med at bedriftens resolver og enhver nettproxy fører en oversikt over destinasjonene du har kontaktet. En proxy logger i tillegg forespørselslinjen til en ukryptert HTTP-forespørsel og CONNECT-destinasjonen som brukes for HTTPS, noe som er en rikere registrering enn en flytlogg. Innholdet i HTTPS forblir uleselig med mindre organisasjonen har installert sitt eget klarerte sertifikat på maskinen, som er en separat og synlig endring. Flytmetadata alene er nok til å fastslå når du arbeidet og hvilke tjenester du brukte.

Med en delt tunnel går disse offentlige destinasjonene ut gjennom din egen forbindelse, så bedriftens registrering dekker interne navn og bedriftsdestinasjoner i stedet for alt. Det er en mindre registrering, og fortsatt ikke en tom. Enhver påstand om at en delt tunnel betyr at arbeidsgiveren ikke ser noe, er rett og slett feil.

DNS ser navn tunnelen kanskje ikke bærer

Navneoppslag er sin egen vei, og en profil som presser på bedriftens resolver, sender oppslag dit selv når forbindelsen går ut lokalt. Resolveren registrerer navnene du ba om, noe som ofte er mer informativt enn adressene du nådde. Delt DNS begrenser dette til interne domener, og en nettleser med sin egen krypterte resolver kan omgå ordningen helt. Tre komponenter kan svare på et oppslag, og bare én av dem tilhører bedriften.

Test oppslagsveien atskilt fra rutingveien. Et oppslag som går til bedriftens resolver mens forbindelsen går ut lokalt, er en delt konfigurasjon som virker som tenkt, og den avslører fortsatt navn.

Sjekk ruten og delingene

To fakta avgjør hva du faktisk eksponerer, og begge er synlige på maskinen. Kommandoene nedenfor viser standardrutene med tunnelen oppe, veien for navneoppslag og delingene denne datamaskinen publiserer. Kjør dem før du kobler til, og deretter igjen mens du er tilkoblet.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

En standardrute som navngir tunneleadapteren, betyr at bedriften bærer den offentlige trafikken din, og en standardrute som navngir din egen adapter, betyr at den ikke gjør det. En deling som er oppført av den tredje kommandoen, er tilgjengelig fra bedriftsnettet mens tunnelen er oppe, selv når det vanlige vertsnavnet ikke slås opp, og gjestetilgang gjør den tilgjengelig uten konto. Brannmurprofilen betyr noe fordi en tunneleadapter kan klassifiseres som offentlig, noe som avgjør om fildeling er tillatt i det hele tatt. Les de fire sammen, og grensen blir beskrevet i stedet for gjettet.

Velg ordningen ut fra den grensen: en direkte forbindelse gir arbeidsgiverens verktøy størst rekkevidde, en bedriftsenhet holder arbeidsovervåking borte fra filene dine, og en virtuell maskin isolerer installasjonen uten å endre hvor trafikken går ut. Noter hvilken rute og hvilke delinger du godtok.