Delad eller full tunnel: vad din arbetsgivare fortfarande registrerar

Frågan kommer som en fråga, och den kräver två svar. En tunnel ändrar vart dina paket reser, medan klienten ändrar vad som körs på maskinen, och att blanda de två ger antingen falsk trygghet eller onödig alarm. Skilj dem åt och resten av svaret följer av fakta du själv kan kontrollera.

Trafikhalvan avgörs av den väg profilen installerar. Maskinhalvan avgörs av vad klienten gör och vad din egen dator publicerar på nätet.

En fråga döljer två

En full tunnel installerar en standardväg genom företagets gateway, så offentliga förfrågningar lämnar därifrån och gatewayen, dess proxy och dess resolver kan registrera destinationer, tider och volymer. En delad tunnel installerar bara utvalda vägar, så vanligt surfande går ut genom din egen anslutning och din leverantör ser det i stället. Ingen av de två ordningarna handlar om krypteringsstyrka: HTTPS skyddar innehållet i båda fallen och avslöjar destinationen i båda fallen. Skillnaden är routing, och routing syns på själva maskinen.

Klienten kan också installera en drivrutin som inspekterar paket, köra en tillståndskontroll innan den tillåter en anslutning och rapportera vilken programvara som finns. Det är programvarans förmågor och inte tunnelns, och de gäller i båda routinglägena.

Vad gatewayen och proxyn behåller

När standardvägen pekar in i tunneln bör du räkna med att företagets resolver och varje webbproxy för register över de destinationer du kontaktat. En proxy loggar dessutom begäransraden för en okrypterad HTTP-begäran och CONNECT-destinationen som används för HTTPS, vilket är ett rikare register än en flödeslogg. Innehållet i HTTPS förblir oläsligt om inte organisationen har installerat sitt eget betrodda certifikat på maskinen, vilket är en separat och synlig ändring. Enbart flödesmetadata räcker för att fastställa när du arbetade och vilka tjänster du använde.

Med en delad tunnel går dessa offentliga destinationer ut genom din egen anslutning, så företagets register täcker interna namn och företagsdestinationer i stället för allt. Det är ett mindre register, och fortfarande inte ett tomt. Varje påstående att en delad tunnel innebär att arbetsgivaren inte ser något är helt enkelt fel.

DNS ser namn som tunneln kanske inte bär

Namnuppslagning är en egen väg, och en profil som tvingar fram företagets resolver skickar förfrågningar dit även när anslutningen går ut lokalt. Resolvern registrerar namnen du bad om, vilket ofta är mer upplysande än adresserna du nådde. Delad DNS begränsar detta till interna domäner, och en webbläsare med egen krypterad resolver kan kringgå ordningen helt. Tre komponenter kan svara på en förfrågan, och bara en av dem tillhör företaget.

Testa uppslagningsvägen separat från routingvägen. En förfrågan till företagets resolver medan anslutningen går ut lokalt är en delad konfiguration som fungerar som tänkt, och den avslöjar fortfarande namn.

Kontrollera vägen och delningarna

Två fakta avgör vad du faktiskt exponerar, och båda syns på maskinen. Kommandona nedan visar standardvägarna med tunneln uppe, vägen för namnuppslagning och de delningar som den här datorn publicerar. Kör dem innan du ansluter, och sedan igen medan du är ansluten.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

En standardväg som namnger tunneladaptern betyder att företaget bär din offentliga trafik, och en standardväg som namnger din egen adapter betyder att det inte gör det. En delning som listas av det tredje kommandot nås från företagsnätet medan tunneln är uppe, även när det vanliga värdnamnet inte löses upp, och gäståtkomst gör den nåbar utan konto. Brandväggsprofilen spelar roll eftersom en tunneladapter kan klassas som offentlig, vilket avgör om fildelning alls är tillåten. Läs de fyra tillsammans och gränsen blir beskriven i stället för gissad.

Välj ordningen utifrån den gränsen: en direkt anslutning ger arbetsgivarens verktyg störst räckvidd, en företagsenhet håller arbetsövervakning borta från dina filer, och en virtuell maskin isolerar installationen utan att ändra var trafiken går ut. Anteckna vilken väg och vilka delningar du accepterade.