Rozdelený alebo plný tunel: čo o vás zamestnávateľ stále zaznamenáva

Otázka prichádza ako jedna otázka a potrebuje dve odpovede. Tunel mení, kam putujú vaše pakety, kým klient mení, čo beží na stroji, a miešanie oboch prináša buď falošné upokojenie, alebo zbytočný poplach. Oddeľte ich a zvyšok odpovede vyplýva z faktov, ktoré si môžete overiť.

Polovicu o prenose určuje trasa, ktorú nainštaluje profil. Polovicu o stroji určuje to, čo robí klient a čo váš vlastný počítač zverejňuje v sieti.

Jedna otázka skrýva dve

Plný tunel nainštaluje predvolenú trasu cez firemnú bránu, takže verejné požiadavky odchádzajú odtiaľ a brána, jej proxy a jej resolver môžu zaznamenávať ciele, časy a objemy. Rozdelený tunel nainštaluje len vybrané trasy, takže bežné prehliadanie odchádza cez vaše vlastné pripojenie a namiesto toho ho vidí váš poskytovateľ. Ani jedno usporiadanie nie je o sile šifrovania: HTTPS chráni obsah v oboch prípadoch a v oboch prípadoch prezrádza cieľ. Rozdiel je v smerovaní a smerovanie je viditeľné na samotnom stroji.

Klient môže tiež nainštalovať ovládač, ktorý prehliada pakety, spustiť kontrolu stavu pred povolením pripojenia a hlásiť, aký softvér je prítomný. To sú schopnosti softvéru, nie tunela, a platia v oboch režimoch smerovania.

Čo si brána a proxy ponechávajú

Keď predvolená trasa ukazuje do tunela, očakávajte, že firemný resolver a akákoľvek webová proxy povedú záznam o cieľoch, s ktorými ste komunikovali. Proxy navyše zaznamenáva riadok požiadavky nešifrovanej HTTP požiadavky a cieľ CONNECT používaný pre HTTPS, čo je bohatší záznam ako protokol tokov. Obsah vnútri HTTPS zostáva nečitateľný, pokiaľ organizácia nenainštalovala na stroj vlastný dôveryhodný certifikát, čo je samostatná a viditeľná zmena. Samotné metadáta toku stačia na to, aby sa zistilo, kedy ste pracovali a ktoré služby ste používali.

Pri rozdelenom tuneli tieto verejné ciele odchádzajú cez vaše vlastné pripojenie, takže firemný záznam pokrýva interné názvy a firemné ciele namiesto všetkého. Je to menší záznam a stále nie prázdny. Akékoľvek tvrdenie, že rozdelený tunel znamená, že zamestnávateľ nič nevidí, je jednoducho nesprávne.

DNS vidí názvy, ktoré tunel nemusí niesť

Preklad názvov je vlastná cesta a profil, ktorý presadzuje firemný resolver, posiela dopyty tam, aj keď pripojenie vychádza lokálne. Resolver zaznamenáva názvy, ktoré ste požadovali, čo je často výrečnejšie ako adresy, ktoré ste dosiahli. Rozdelený DNS to obmedzuje na interné domény a prehliadač s vlastným šifrovaným resolverom môže usporiadanie úplne obísť. Na dopyt môžu odpovedať tri komponenty a len jeden z nich patrí firme.

Testujte cestu prekladu oddelene od cesty smerovania. Dopyt, ktorý ide do firemného resolvera, kým pripojenie vychádza lokálne, je rozdelená konfigurácia fungujúca podľa návrhu a stále prezrádza názvy.

Skontrolujte trasu a zdieľania

O tom, čo skutočne odhaľujete, rozhodujú dva fakty a oba sú na stroji viditeľné. Príkazy nižšie ukazujú predvolené trasy so zdvihnutým tunelom, cestu prekladu názvov a zdieľania, ktoré tento počítač zverejňuje. Spustite ich pred pripojením a potom znova, keď ste pripojení.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Predvolená trasa, ktorá pomenúva adaptér tunela, znamená, že firma nesie váš verejný prenos, a predvolená trasa, ktorá pomenúva váš vlastný adaptér, znamená, že ho nenesie. Zdieľanie uvedené tretím príkazom je dostupné z firemnej siete, kým je tunel zdvihnutý, aj keď sa bežné meno hostiteľa neprekladá, a prístup pre hostí ho sprístupní bez účtu. Profil brány firewall je dôležitý, pretože adaptér tunela môže byť klasifikovaný ako verejný, čo rozhoduje, či je zdieľanie súborov vôbec povolené. Prečítajte si všetky štyri spolu a hranica bude opísaná, nie uhádnutá.

Vyberte usporiadanie podľa tejto hranice: priame pripojenie dáva nástrojom zamestnávateľa najväčší dosah, firemné zariadenie drží sledovanie práce ďaleko od vašich súborov a virtuálny stroj izoluje inštaláciu bez toho, aby menil, kadiaľ prenos vychádza. Zaznamenajte, ktorú trasu a ktoré zdieľania ste prijali.