Подељени или пуни тунел: шта ваш послодавац и даље бележи

Тунел одлучује ко носи ваш саобраћај; клијент одлучује шта ради на вашој машини. Проверите подразумевану руту и дељења која објављујете.

Питање долази као једно питање, а потребна су два одговора. Тунел мења куда путују ваши пакети, док клијент мења шта ради на машини, а стапање тога двоје даје или лажну сигурност или непотребну узнемиреност. Раздвојите их и остатак одговора следи из чињеница које можете проверити.

Половину о саобраћају одређује рута коју инсталира профил. Половину о машини одређују оно што клијент ради и оно што ваше сопствени рачунар објављује на мрежи.

Једно питање крије два

Пуни тунел инсталира подразумевану руту кроз мрежни пролаз компаније, па јавни захтеви излазе одатле и пролаз, његов прокси и његов разрешивач могу бележити одредишта, времена и количине. Подељени тунел инсталира само одабране руте, па уобичајено прегледање излази кроз вашу сопствену везу и ваш пружалац га види уместо тога. Ниједан распоред није о снази шифровања: HTTPS штити садржај у оба случаја и открива одредиште у оба случаја. Разлика је у усмеравању, а усмеравање је видљиво на самој машини.

Клијент може инсталирати и управљачки програм који прегледа пакете, покренути проверу здравља пре него што дозволи везу и пријавити који је софтвер присутан. То су могућности софтвера, а не тунела, и важе у оба начина усмеравања.

Шта чувају пролаз и прокси

Када подразумевана рута показује у тунел, очекујте да ће корпоративни разрешивач и било који веб прокси држати запис о одредиштима с којима сте ступили у контакт. Прокси додатно бележи ред захтева нешифрованог HTTP захтева и одредиште CONNECT коришћено за HTTPS, што је богатији запис од записа токова. Садржај унутар HTTPS остаје нечитљив осим ако организација није инсталирала сопствени поуздани сертификат на рачунар, а то је засебна и видљива промена. Сами метаподаци тока довољни су да се утврди када сте радили и које сте услуге користили.

Са подељеним тунелом та јавна одредишта излазе кроз вашу сопствену везу, па запис компаније покрива унутрашња имена и корпоративна одредишта уместо свега. То је мањи запис и још увек није празан. Свака тврдња да подељени тунел значи да послодавац не види ништа једноставно је погрешна.

DNS види имена која тунел можда не преноси

Разрешавање имена је сопствени пут, а профил који гура корпоративни разрешивач шаље претраге тамо чак и када веза излази локално. Разрешивач бележи имена која сте тражили, што је често информативније од адреса до којих сте дошли. Подељени DNS то ограничава на унутрашње домене, а прегледач са сопственим шифрованим разрешивачем може потпуно заобићи распоред. Три компоненте могу одговорити на претрагу, а само једна од њих припада компанији.

Тестирајте пут разрешавања одвојено од пута усмеравања. Претрага која иде ка корпоративном разрешивачу док веза излази локално је подељена конфигурација која ради како је замишљено, и она још увек открива имена.

Проверите руту и дељења

Две чињенице одлучују шта заправо излажете и обе су видљиве на рачунару. Наредбе испод приказују подразумеване руте са подигнутим тунелом, пут разрешавања имена и дељења која овај рачунар објављује. Покрените их пре повезивања, па поново док сте повезани.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Подразумевана рута која именује адаптер тунела значи да компанија носи ваш јавни саобраћај, а подразумевана рута која именује ваш сопствени адаптер значи да га не носи. Дељење које наведе трећа наредба доступно је са корпоративне мреже док је тунел подигнут, чак и када се уобичајено име хоста не разрешава, а гостујући приступ чини га доступним без налога. Профил заштитног зида је важан јер се адаптер тунела може класификовати као јаван, што одлучује да ли је дељење датотека уопште дозвољено. Прочитајте сва четири заједно и граница ће бити описана, а не нагађана.

Изаберите распоред према тој граници: директна веза даје алатима послодавца највећи домет, уређај компаније држи надзор над радом далеко од ваших датотека, а виртуелна машина изолује инсталацију без мењања тога одакле саобраћај излази. Забележите коју сте руту и која дељења прихватили.

Повезани чланци