Tunel i ndarë apo i plotë: çfarë regjistron ende punëdhënësi juaj

Pyetja vjen si një pyetje e vetme dhe kërkon dy përgjigje. Një tunel ndryshon ku udhëtojnë paketat tuaja, ndërsa klienti ndryshon çfarë ekzekutohet në makinë, dhe përzierja e të dyjave prodhon ose qetësi të rreme ose alarm të panevojshëm. Ndajini ato dhe pjesa tjetër e përgjigjes rrjedh nga fakte që mund t’i verifikoni.

Gjysma e trafikut vendoset nga rruga që instalon profili. Gjysma e makinës vendoset nga ajo që bën klienti dhe ajo që publikon kompjuteri juaj në rrjet.

Një pyetje fsheh dy

Një tunel i plotë instalon një rrugë të paracaktuar përmes portës së kompanisë, kështu që kërkesat publike dalin prej andej dhe porta, proxy-ja dhe zgjidhësi i saj mund të regjistrojnë destinacione, orare dhe vëllime. Një tunel i ndarë instalon vetëm rrugë të zgjedhura, kështu që shfletimi i zakonshëm del përmes lidhjes tuaj dhe në vend të kësaj e sheh ofruesi juaj. Asnjëra nga të dyja nuk ka të bëjë me forcën e kriptimit: HTTPS mbron përmbajtjen në të dyja rastet dhe zbulon destinacionin në të dyja rastet. Dallimi është rrugëzimi, dhe rrugëzimi është i dukshëm në vetë makinën.

Klienti mund të instalojë gjithashtu një drejtues që inspekton paketat, të ekzekutojë një kontroll gjendjeje përpara se të lejojë një lidhje dhe të raportojë çfarë softueri është i pranishëm. Këto janë aftësi të softuerit dhe jo të tunelit, dhe zbatohen në të dy mënyrat e rrugëzimit.

Çfarë mbajnë porta dhe proxy

Kur rruga e paracaktuar tregon brenda tunelit, prisni që zgjidhësi i korporatës dhe çdo proxy web të mbajnë një regjistër të destinacioneve me të cilat keni kontaktuar. Proxy regjistron gjithashtu rreshtin e kërkesës së një kërkese HTTP të pakriptuar dhe destinacionin CONNECT të përdorur për HTTPS, që është një regjistër më i pasur se një regjistër rrjedhash. Përmbajtja brenda HTTPS mbetet e palexueshme, përveç nëse organizata ka instaluar certifikatën e saj të besuar në makinë, që është një ndryshim i veçantë dhe i dukshëm. Vetëm metadata e rrjedhës mjafton për të përcaktuar kur keni punuar dhe cilat shërbime keni përdorur.

Me një tunel të ndarë ato destinacione publike dalin përmes lidhjes tuaj, kështu që regjistri i kompanisë mbulon emra të brendshëm dhe destinacione korporative në vend të gjithçkaje. Është një regjistër më i vogël, dhe ende jo i zbrazët. Çdo pretendim se një tunel i ndarë do të thotë që punëdhënësi nuk sheh asgjë është thjesht i gabuar.

DNS sheh emra që tuneli mund të mos i mbajë

Zgjidhja e emrave është rrugë më vete, dhe një profil që imponon zgjidhësin e korporatës i dërgon kërkesat atje edhe kur lidhja del lokalisht. Zgjidhësi regjistron emrat që kërkuat, që shpesh është më informues se adresat që arritët. DNS i ndarë e kufizon këtë te domenet e brendshme, dhe një shfletues me zgjidhësin e vet të kriptuar mund ta anashkalojë plotësisht rregullimin. Tre komponentë mund t’i përgjigjen një kërkese, dhe vetëm njëri prej tyre i përket kompanisë.

Testoni rrugën e zgjidhjes veçmas nga rruga e rrugëzimit. Një kërkesë që shkon te zgjidhësi i korporatës ndërsa lidhja del lokalisht është një konfigurim i ndarë që funksionon sipas projektimit, dhe ai ende zbulon emra.

Kontrolloni rrugën dhe ndarjet

Dy fakte vendosin çfarë po ekspozoni në të vërtetë, dhe të dyja janë të dukshme në makinë. Komandat më poshtë tregojnë rrugët e paracaktuara me tunelin lart, rrugën e zgjidhjes së emrave dhe ndarjet që publikon ky kompjuter. Ekzekutojini përpara lidhjes dhe pastaj përsëri sa kohë jeni i lidhur.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Një rrugë e paracaktuar që emërton përshtatësin e tunelit do të thotë që kompania mbart trafikun tuaj publik, dhe një rrugë e paracaktuar që emërton përshtatësin tuaj do të thotë që nuk e bën. Një ndarje e listuar nga komanda e tretë është e arritshme nga rrjeti i korporatës sa kohë tuneli është lart, edhe kur emri i zakonshëm i hostit nuk zgjidhet, dhe aksesi i mysafirëve e bën atë të arritshëm pa llogari. Profili i murit të zjarrit ka rëndësi sepse përshtatësi i tunelit mund të klasifikohet si publik, gjë që vendos nëse ndarja e skedarëve lejohet fare. Lexoni të katërt së bashku dhe kufiri përshkruhet në vend që të hamendësohet.

Zgjidhni rregullimin nga ai kufi: një lidhje e drejtpërdrejtë i jep mjeteve të punëdhënësit shtrirjen më të madhe, një pajisje e kompanisë e mban monitorimin e punës larg skedarëve tuaj, dhe një makinë virtuale e izolon instalimin pa ndryshuar nga del trafiku. Shënoni cilën rrugë dhe cilat ndarje keni pranuar.