Разделённый или полный туннель: что ваш работодатель всё ещё записывает

Вопрос приходит как один вопрос, а требует двух ответов. Туннель меняет, куда идут ваши пакеты, а клиент меняет, что работает на машине, и смешение этих двух даёт либо ложное спокойствие, либо лишнюю тревогу. Разделите их, и остальная часть ответа следует из фактов, которые вы можете проверить.

Половину про трафик определяет маршрут, который устанавливает профиль. Половину про машину определяют то, что делает клиент, и то, что публикует в сети ваш собственный компьютер.

Один вопрос скрывает два

Полный туннель устанавливает маршрут по умолчанию через шлюз компании, поэтому публичные запросы выходят оттуда, и шлюз, его прокси и его резолвер могут записывать назначения, время и объёмы. Разделённый туннель устанавливает только выбранные маршруты, поэтому обычный просмотр выходит через ваше собственное подключение, и его видит вместо этого ваш провайдер. Ни одна из схем не про силу шифрования: HTTPS защищает содержимое в обоих случаях и раскрывает назначение в обоих случаях. Разница в маршрутизации, а маршрутизация видна на самой машине.

Клиент может также установить драйвер, который проверяет пакеты, запустить проверку состояния до разрешения подключения и сообщить, какое программное обеспечение присутствует. Это возможности программного обеспечения, а не туннеля, и они действуют в обоих режимах маршрутизации.

Что хранят шлюз и прокси

Когда маршрут по умолчанию указывает в туннель, ожидайте, что корпоративный резолвер и любой веб-прокси будут вести запись посещённых назначений. Прокси дополнительно записывает строку запроса незашифрованного HTTP-запроса и назначение CONNECT, используемое для HTTPS, что является более богатой записью, чем журнал потоков. Содержимое внутри HTTPS остаётся нечитаемым, если только организация не установила на машине свой доверенный сертификат, а это отдельное и видимое изменение. Одних метаданных потока достаточно, чтобы установить, когда вы работали и какими сервисами пользовались.

При разделённом туннеле эти публичные назначения выходят через вашу собственную линию, поэтому запись компании охватывает внутренние имена и корпоративные назначения вместо всего. Это меньшая запись, и всё же не пустая. Любое утверждение, что разделённый туннель означает, будто работодатель ничего не видит, просто неверно.

DNS видит имена, которые туннель может не нести

Разрешение имён — отдельный путь, и профиль, который навязывает корпоративный резолвер, отправляет запросы туда даже тогда, когда подключение выходит локально. Резолвер записывает имена, которые вы запрашивали, а это часто информативнее, чем достигнутые адреса. Разделённый DNS ограничивает это внутренними доменами, и браузер с собственным зашифрованным резолвером может полностью обойти схему. Ответить на запрос могут три компонента, и только один из них принадлежит компании.

Проверяйте путь разрешения отдельно от пути маршрутизации. Запрос к корпоративному резолверу, пока подключение выходит локально, — это разделённая конфигурация, работающая как задумано, и она всё равно раскрывает имена.

Проверьте маршрут и общие ресурсы

Два факта решают, что вы на самом деле раскрываете, и оба видны на машине. Команды ниже показывают маршруты по умолчанию при поднятом туннеле, путь разрешения имён и общие ресурсы, которые публикует этот компьютер. Запустите их до подключения, а затем ещё раз, пока подключены.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Маршрут по умолчанию, называющий адаптер туннеля, означает, что компания несёт ваш публичный трафик, а маршрут по умолчанию, называющий ваш собственный адаптер, означает, что не несёт. Общий ресурс, перечисленный третьей командой, доступен из корпоративной сети, пока туннель поднят, даже когда обычное имя хоста не разрешается, а гостевой доступ делает его доступным без учётной записи. Профиль межсетевого экрана важен, потому что адаптер туннеля может быть классифицирован как публичный, и это решает, разрешён ли обмен файлами вообще. Прочитайте все четыре вместе, и граница будет описана, а не угадана.

Выберите схему исходя из этой границы: прямое подключение даёт инструментам работодателя наибольший охват, устройство компании держит наблюдение за работой подальше от ваших файлов, а виртуальная машина изолирует установку, не меняя того, откуда выходит трафик. Запишите, какой маршрут и какие общие ресурсы вы приняли.