Tunel divizat sau complet: ce înregistrează în continuare angajatorul tău

Întrebarea vine ca o singură întrebare și are nevoie de două răspunsuri. Un tunel schimbă unde călătoresc pachetele tale, iar clientul schimbă ce rulează pe mașină, iar amestecarea celor două produce fie o liniște falsă, fie o alarmă inutilă. Separă-le și restul răspunsului decurge din fapte pe care le poți verifica.

Jumătatea despre trafic este decisă de ruta pe care o instalează profilul. Jumătatea despre mașină este decisă de ce face clientul și de ce publică propriul tău calculator în rețea.

O întrebare ascunde două

Un tunel complet instalează o rută implicită prin poarta companiei, așa că cererile publice pleacă de acolo, iar poarta, proxy-ul și resolverul ei pot înregistra destinații, ore și volume. Un tunel divizat instalează doar rute selectate, așa că navigarea obișnuită iese prin propria ta conexiune și este văzută de furnizorul tău în schimb. Niciuna dintre cele două aranjamente nu este despre puterea criptării: HTTPS protejează conținutul în ambele cazuri și dezvăluie destinația în ambele cazuri. Diferența este rutarea, iar rutarea este vizibilă pe mașina însăși.

Clientul poate instala și un driver care inspectează pachetele, poate rula o verificare de stare înainte de a permite o conexiune și poate raporta ce software este prezent. Acestea sunt capacități ale software-ului, nu ale tunelului, și se aplică în ambele moduri de rutare.

Ce păstrează poarta și proxy-ul

Când ruta implicită indică în tunel, așteaptă-te ca resolverul companiei și orice proxy web să păstreze o evidență a destinațiilor cu care ai comunicat. Un proxy înregistrează în plus linia de cerere a unei cereri HTTP necifrate și destinația CONNECT folosită pentru HTTPS, ceea ce este o evidență mai bogată decât un jurnal de fluxuri. Conținutul din interiorul HTTPS rămâne ilizibil dacă organizația nu a instalat propriul certificat de încredere pe mașină, ceea ce este o schimbare separată și vizibilă. Metadatele de flux singure sunt suficiente pentru a stabili când ai lucrat și ce servicii ai folosit.

Cu un tunel divizat acele destinații publice ies prin propria ta legătură, așa că evidența companiei acoperă nume interne și destinații corporative în loc de tot. Este o evidență mai mică și totuși nu una goală. Orice afirmație că un tunel divizat înseamnă că angajatorul nu vede nimic este pur și simplu greșită.

DNS vede nume pe care tunelul poate nu le transportă

Rezolvarea numelor este un drum propriu, iar un profil care impune resolverul companiei trimite interogările acolo chiar și când conexiunea iese local. Resolverul înregistrează numele cerute, ceea ce este adesea mai informativ decât adresele atinse. DNS-ul divizat limitează asta la domenii interne, iar un browser cu propriul resolver criptat poate ocoli complet aranjamentul. Trei componente pot răspunde unei interogări și doar una dintre ele aparține companiei.

Testează calea de rezolvare separat de calea de rutare. O interogare care merge la resolverul companiei în timp ce conexiunea iese local este o configurație divizată care funcționează conform proiectării și care tot dezvăluie nume.

Verifică ruta și partajările

Două fapte decid ce expui de fapt, iar ambele sunt vizibile pe mașină. Comenzile de mai jos arată rutele implicite cu tunelul activ, calea de rezolvare a numelor și partajările pe care le publică acest calculator. Rulează-le înainte de conectare și apoi din nou cât timp ești conectat.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

O rută implicită care numește adaptorul tunelului înseamnă că firma transportă traficul tău public, iar o rută implicită care numește propriul tău adaptor înseamnă că nu o face. O partajare listată de a treia comandă este accesibilă din rețeaua companiei cât timp tunelul este activ, chiar și când numele de gazdă obișnuit nu se rezolvă, iar accesul de oaspete o face accesibilă fără cont. Profilul de firewall contează pentru că un adaptor de tunel poate fi clasificat ca public, ceea ce decide dacă partajarea fișierelor este permisă. Citește toate patru împreună și granița este descrisă în loc să fie ghicită.

Alege aranjamentul pornind de la acea graniță: o conexiune directă dă uneltelor angajatorului cea mai mare acoperire, un dispozitiv al companiei ține monitorizarea muncii departe de fișierele tale, iar o mașină virtuală izolează instalarea fără a schimba pe unde iese traficul. Notează ce rută și ce partajări ai acceptat.