Tunel dzielony czy pełny: co twój pracodawca wciąż rejestruje

Pytanie przychodzi jako jedno pytanie, a potrzebuje dwóch odpowiedzi. Tunel zmienia, dokąd podróżują twoje pakiety, natomiast klient zmienia, co działa na maszynie, a mieszanie obu daje albo fałszywe poczucie bezpieczeństwa, albo niepotrzebny alarm. Rozdziel je, a reszta odpowiedzi wynika z faktów, które możesz sprawdzić.

Połowę dotyczącą ruchu określa trasa instalowana przez profil. Połowę dotyczącą maszyny określa to, co robi klient i co publikuje w sieci twój własny komputer.

Jedno pytanie ukrywa dwa

Pełny tunel instaluje trasę domyślną przez bramę firmy, więc publiczne żądania wychodzą stamtąd, a brama, jej proxy i jej resolver mogą rejestrować cele, czasy i wolumeny. Tunel dzielony instaluje tylko wybrane trasy, więc zwykłe przeglądanie wychodzi przez twoje własne połączenie i widzi je zamiast tego twój dostawca. Żadne z tych rozwiązań nie dotyczy siły szyfrowania: HTTPS chroni treść w obu przypadkach i ujawnia cel w obu przypadkach. Różnica tkwi w routingu, a routing jest widoczny na samej maszynie.

Klient może też zainstalować sterownik, który sprawdza pakiety, uruchomić kontrolę stanu przed zezwoleniem na połączenie i zgłosić, jakie oprogramowanie jest obecne. To możliwości oprogramowania, a nie tunelu, i działają w obu trybach routingu.

Co zachowują brama i proxy

Gdy trasa domyślna wskazuje do tunelu, oczekuj, że firmowy resolver i każde proxy webowe będą prowadzić rejestr celów, z którymi się łączyłeś. Proxy dodatkowo zapisuje wiersz żądania niezaszyfrowanego żądania HTTP oraz cel CONNECT używany dla HTTPS, co jest bogatszym zapisem niż log przepływów. Treść wewnątrz HTTPS pozostaje nieczytelna, chyba że organizacja zainstalowała na maszynie własny zaufany certyfikat, co jest osobną i widoczną zmianą. Same metadane przepływu wystarczą, by ustalić, kiedy pracowałeś i jakich usług używałeś.

W tunelu dzielonym te publiczne cele wychodzą przez twoje własne łącze, więc rejestr firmy obejmuje nazwy wewnętrzne i cele firmowe zamiast wszystkiego. To mniejszy rejestr i wciąż nie pusty. Każde twierdzenie, że tunel dzielony oznacza, iż pracodawca nic nie widzi, jest po prostu błędne.

DNS widzi nazwy, których tunel może nie nieść

Rozwiązywanie nazw to własna ścieżka, a profil wymuszający firmowy resolver wysyła tam zapytania nawet wtedy, gdy połączenie wychodzi lokalnie. Resolver rejestruje nazwy, o które prosiłeś, co często jest bardziej pouczające niż osiągnięte adresy. Dzielony DNS ogranicza to do domen wewnętrznych, a przeglądarka z własnym szyfrowanym resolverem może całkowicie ominąć to rozwiązanie. Na zapytanie mogą odpowiedzieć trzy komponenty i tylko jeden z nich należy do firmy.

Testuj ścieżkę rozwiązywania oddzielnie od ścieżki routingu. Zapytanie idące do firmowego resolvera, gdy połączenie wychodzi lokalnie, to konfiguracja dzielona działająca zgodnie z projektem, i ona nadal ujawnia nazwy.

Sprawdź trasę i udostępnienia

Dwa fakty decydują, co naprawdę ujawniasz, i oba są widoczne na maszynie. Poniższe polecenia pokazują trasy domyślne przy podniesionym tunelu, ścieżkę rozwiązywania nazw i udostępnienia publikowane przez ten komputer. Uruchom je przed połączeniem, a potem ponownie, gdy jesteś połączony.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Trasa domyślna wskazująca adapter tunelu oznacza, że firma niesie twój publiczny ruch, a trasa domyślna wskazująca twój własny adapter oznacza, że tego nie robi. Udostępnienie wymienione przez trzecie polecenie jest osiągalne z sieci firmowej, dopóki tunel jest podniesiony, nawet gdy zwykła nazwa hosta się nie rozwiązuje, a dostęp gościa czyni je osiągalnym bez konta. Profil zapory ma znaczenie, ponieważ adapter tunelu może zostać sklasyfikowany jako publiczny, co decyduje, czy udostępnianie plików jest w ogóle dozwolone. Przeczytaj wszystkie cztery razem, a granica zostanie opisana, a nie zgadnięta.

Wybierz rozwiązanie na podstawie tej granicy: bezpośrednie połączenie daje narzędziom pracodawcy największy zasięg, urządzenie firmowe trzyma monitoring pracy z dala od twoich plików, a maszyna wirtualna izoluje instalację bez zmiany tego, skąd wychodzi ruch. Zapisz, którą trasę i które udostępnienia zaakceptowałeś.