Túnel dividido ou completo: o que o seu empregador continua a registar

A pergunta chega como uma só pergunta, e precisa de duas respostas. Um túnel muda o destino dos seus pacotes, enquanto o cliente muda o que corre na máquina, e confundir os dois produz ou uma falsa tranquilidade ou um alarme desnecessário. Separe-os e o resto da resposta decorre de factos que pode verificar.

A metade do tráfego é decidida pela rota que o perfil instala. A metade da máquina é decidida pelo que o cliente faz e pelo que o seu próprio computador publica na rede.

Uma pergunta esconde duas

Um túnel completo instala uma rota predefinida através do gateway da empresa, pelo que os pedidos públicos saem de lá e o gateway, o seu proxy e o seu resolver podem registar destinos, horas e volumes. Um túnel dividido instala apenas rotas selecionadas, pelo que a navegação comum sai pela sua própria ligação e o seu fornecedor vê-a em vez disso. Nenhum dos arranjos é sobre a força da cifra: o HTTPS protege o conteúdo nos dois casos e revela o destino nos dois casos. A diferença é o encaminhamento, e o encaminhamento é visível na própria máquina.

O cliente também pode instalar um controlador que inspeciona pacotes, executar uma verificação de estado antes de permitir uma ligação e comunicar que software está presente. São capacidades do software e não do túnel, e aplicam-se nos dois modos de encaminhamento.

O que o gateway e o proxy guardam

Com a rota predefinida a apontar para o túnel, conte com o resolver da empresa e com qualquer proxy web a guardar um registo dos destinos contactados. Um proxy regista ainda a linha de pedido de um pedido HTTP não cifrado e o destino CONNECT usado para HTTPS, o que é um registo mais rico do que um registo de fluxos. O conteúdo dentro de HTTPS permanece ilegível a menos que a organização tenha instalado o seu próprio certificado de confiança na máquina, o que é uma alteração separada e visível. Os metadados de fluxo por si só bastam para estabelecer quando trabalhava e que serviços usou.

Com um túnel dividido esses destinos públicos saem pela sua própria ligação, pelo que o registo da empresa abrange nomes internos e destinos corporativos em vez de tudo. É um registo mais pequeno, e continua a não estar vazio. Qualquer afirmação de que um túnel dividido significa que o empregador não vê nada é simplesmente falsa.

O DNS vê nomes que o túnel pode não transportar

A resolução de nomes é um caminho próprio, e um perfil que impõe o resolver da empresa envia as consultas para lá mesmo quando a ligação sai localmente. O resolver regista os nomes pedidos, o que muitas vezes é mais informativo do que os endereços alcançados. O DNS dividido limita isso a domínios internos, e um navegador com o seu próprio resolver cifrado pode contornar o arranjo por completo. Três componentes podem responder a uma consulta, e apenas um deles pertence à empresa.

Teste o caminho de resolução separadamente do caminho de encaminhamento. Uma consulta que vai para o resolver da empresa enquanto a ligação sai localmente é uma configuração dividida a funcionar como previsto, e continua a divulgar nomes.

Verifique a rota e as partilhas

Dois factos decidem o que está realmente a expor, e ambos são visíveis na máquina. Os comandos abaixo mostram as rotas predefinidas com o túnel ativo, o caminho de resolução de nomes e as partilhas que este computador publica. Execute-os antes de ligar e depois outra vez enquanto estiver ligado.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Uma rota predefinida que nomeia o adaptador do túnel significa que a empresa transporta o seu tráfego público, e uma rota predefinida que nomeia o seu próprio adaptador significa que não o faz. Uma partilha listada pelo terceiro comando está acessível a partir da rede da empresa enquanto o túnel está ativo, mesmo quando o nome de anfitrião habitual não é resolvido, e o acesso de convidado torna-a acessível sem conta. O perfil da firewall importa porque um adaptador de túnel pode ser classificado como público, o que decide se a partilha de ficheiros é permitida. Leia os quatro em conjunto e o limite fica descrito em vez de adivinhado.

Escolha o arranjo a partir desse limite: uma ligação direta dá às ferramentas do empregador o maior alcance, um dispositivo da empresa mantém a monitorização do trabalho longe dos seus ficheiros, e uma máquina virtual isola a instalação sem mudar por onde sai o tráfego. Registe que rota e que partilhas aceitou.