Razdeljen ali poln tunel: kaj vaš delodajalec še vedno beleži

Vprašanje pride kot eno vprašanje, potrebuje pa dva odgovora. Tunel spremeni, kam potujejo vaši paketi, odjemalec pa spremeni, kaj teče na računalniku, in mešanje obojega prinese bodisi lažno pomiritev bodisi nepotreben alarm. Ločite ju in preostanek odgovora izhaja iz dejstev, ki jih lahko preverite.

Polovico o prometu določi pot, ki jo namesti profil. Polovico o računalniku določi to, kar počne odjemalec, in to, kar vaš lastni računalnik objavi v omrežju.

Eno vprašanje skriva dve

Poln tunel namesti privzeto pot skozi podjetniški prehod, zato javne zahteve odhajajo od tam in prehod, njegov proxy in njegov razreševalnik lahko beležijo cilje, čase in količine. Razdeljen tunel namesti le izbrane poti, zato običajno brskanje odhaja po vaši lastni povezavi in ga namesto tega vidi vaš ponudnik. Nobena od obeh ureditev ne govori o moči šifriranja: HTTPS varuje vsebino v obeh primerih in razkrije cilj v obeh primerih. Razlika je v usmerjanju, usmerjanje pa je vidno na samem računalniku.

Odjemalec lahko namesti tudi gonilnik, ki pregleduje pakete, izvede preverjanje stanja, preden dovoli povezavo, in poroča, katera programska oprema je prisotna. To so zmožnosti programske opreme, ne tunela, in veljajo v obeh načinih usmerjanja.

Kaj hranita prehod in proxy

Ko privzeta pot kaže v tunel, pričakujte, da bosta podjetniški razreševalnik in vsak spletni proxy vodila evidenco ciljev, s katerimi ste stopili v stik. Proxy dodatno zabeleži vrstico zahteve nešifrirane zahteve HTTP in cilj CONNECT, ki se uporablja za HTTPS, kar je bogatejši zapis od dnevnika tokov. Vsebina znotraj HTTPS ostane neberljiva, razen če je organizacija na računalnik namestila lastno zaupanja vredno potrdilo, kar je ločena in vidna sprememba. Sami metapodatki toka zadostujejo za ugotovitev, kdaj ste delali in katere storitve ste uporabljali.

Pri razdeljenem tunelu ti javni cilji odhajajo po vaši lastni povezavi, zato evidenca podjetja pokriva notranja imena in podjetniške cilje namesto vsega. To je manjša evidenca in še vedno ni prazna. Vsaka trditev, da razdeljen tunel pomeni, da delodajalec ne vidi ničesar, je preprosto napačna.

DNS vidi imena, ki jih tunel morda ne nosi

Razreševanje imen je svoja pot in profil, ki vsiljuje podjetniški razreševalnik, pošilja poizvedbe tja tudi takrat, ko povezava odhaja lokalno. Razreševalnik zabeleži imena, ki ste jih zahtevali, kar je pogosto bolj poučno od doseženih naslovov. Razdeljeni DNS to omeji na notranje domene in brskalnik z lastnim šifriranim razreševalnikom lahko ureditev popolnoma obide. Na poizvedbo lahko odgovorijo tri komponente in le ena od njih pripada podjetju.

Preizkusite pot razreševanja ločeno od poti usmerjanja. Poizvedba, ki gre k podjetniškemu razreševalniku, medtem ko povezava odhaja lokalno, je razdeljena konfiguracija, ki deluje po načrtu, in še vedno razkrije imena.

Preverite pot in deleže

Dve dejstvi odločita, kaj v resnici izpostavljate, in obe sta vidni na računalniku. Spodnji ukazi prikažejo privzete poti z dvignjenim tunelom, pot razreševanja imen in deleže, ki jih objavlja ta računalnik. Zaženite jih pred povezavo in nato znova, ko ste povezani.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Privzeta pot, ki imenuje vmesnik tunela, pomeni, da podjetje nosi vaš javni promet, privzeta pot, ki imenuje vaš lastni vmesnik, pa pomeni, da ga ne nosi. Delež, ki ga navede tretji ukaz, je dosegljiv iz podjetniškega omrežja, dokler je tunel dvignjen, tudi ko se običajno ime gostitelja ne razreši, dostop za goste pa ga naredi dosegljivega brez računa. Profil požarnega zidu je pomemben, ker je vmesnik tunela lahko razvrščen kot javen, kar odloči, ali je souporaba datotek sploh dovoljena. Preberite vse štiri skupaj in meja bo opisana, ne ugibana.

Izberite ureditev glede na to mejo: neposredna povezava da orodjem delodajalca največji doseg, naprava podjetja drži nadzor nad delom stran od vaših datotek, navidezni stroj pa osami namestitev, ne da bi spremenil, od kod promet odhaja. Zapišite, katero pot in katere deleže ste sprejeli.