อุโมงค์แบบแยกส่วนหรือแบบเต็ม: สิ่งที่นายจ้างของคุณยังคงบันทึกอยู่

คำถามมาในรูปของคำถามเดียว แต่ต้องใช้สองคำตอบ อุโมงค์เปลี่ยนว่าแพ็กเก็ตของคุณเดินทางไปที่ใด ขณะที่ไคลเอนต์เปลี่ยนว่าอะไรทำงานบนเครื่อง การรวมสองเรื่องเข้าด้วยกันทำให้ได้ทั้งความมั่นใจเท็จหรือความตื่นตระหนกโดยไม่จำเป็น แยกสองเรื่องออกจากกัน ส่วนที่เหลือของคำตอบจะตามมาจากข้อเท็จจริงที่คุณตรวจสอบได้

ครึ่งหนึ่งเรื่องทราฟฟิกถูกกำหนดโดยเส้นทางที่โปรไฟล์ติดตั้ง ครึ่งหนึ่งเรื่องเครื่องถูกกำหนดโดยสิ่งที่ไคลเอนต์ทำและสิ่งที่คอมพิวเตอร์ของคุณเองเผยแพร่บนเครือข่าย

คำถามเดียวซ่อนสองเรื่อง

อุโมงค์แบบเต็มติดตั้งเส้นทางเริ่มต้นผ่านเกตเวย์ของบริษัท คำขอสาธารณะจึงออกจากที่นั่น และเกตเวย์ พร็อกซี และตัวแก้ไขชื่อของเกตเวย์สามารถบันทึกปลายทาง เวลา และปริมาณได้ อุโมงค์แบบแยกส่วนติดตั้งเฉพาะเส้นทางที่เลือก การท่องเว็บปกติจึงออกผ่านการเชื่อมต่อของคุณเอง และผู้ให้บริการของคุณเป็นผู้เห็นแทน ทั้งสองรูปแบบไม่เกี่ยวกับความแข็งแรงของการเข้ารหัส HTTPS ปกป้องเนื้อหาในทั้งสองกรณีและเปิดเผยปลายทางในทั้งสองกรณี ความต่างอยู่ที่การกำหนดเส้นทาง และการกำหนดเส้นทางมองเห็นได้บนเครื่องเอง

ไคลเอนต์ยังสามารถติดตั้งไดรเวอร์ที่ตรวจสอบแพ็กเก็ต รันการตรวจสอบสภาพก่อนอนุญาตการเชื่อมต่อ และรายงานว่ามีซอฟต์แวร์ใดอยู่ สิ่งเหล่านี้เป็นความสามารถของซอฟต์แวร์ไม่ใช่อุโมงค์ และใช้ได้ในทั้งสองโหมดการกำหนดเส้นทาง

เกตเวย์และพร็อกซีเก็บอะไรไว้

เมื่อเส้นทางเริ่มต้นชี้เข้าสู่อุโมงค์ ให้คาดว่าตัวแก้ไขชื่อขององค์กรและพร็อกซีเว็บใดๆ จะเก็บบันทึกปลายทางที่คุณติดต่อ พร็อกซียังบันทึกบรรทัดคำขอของคำขอ HTTP ที่ไม่เข้ารหัสและปลายทาง CONNECT ที่ใช้สำหรับ HTTPS ซึ่งเป็นบันทึกที่สมบูรณ์กว่าบันทึกโฟลว์ เนื้อหาภายใน HTTPS ยังอ่านไม่ได้ เว้นแต่องค์กร ติดตั้งใบรับรองที่เชื่อถือได้ของตนเองบนเครื่อง ซึ่งเป็นการเปลี่ยนแปลงแยกต่างหากและมองเห็นได้ เมตาดาต้าของโฟลว์เพียงอย่างเดียวก็พอที่จะระบุว่าคุณทำงานเมื่อใดและใช้บริการใด

ด้วยอุโมงค์แบบแยกส่วน ปลายทางสาธารณะเหล่านั้นออกผ่านลิงก์ของคุณเอง บันทึกของบริษัทจึงครอบคลุมชื่อภายในและปลายทางขององค์กรแทนทุกสิ่ง นั่นเป็นบันทึกที่เล็กกว่า และยังไม่ว่างเปล่า ข้ออ้างที่ว่าอุโมงค์แบบแยกส่วนหมายความว่านายจ้างไม่เห็นอะไรเลยนั้นผิดอย่างชัดเจน

DNS เห็นชื่อที่อุโมงค์อาจไม่ได้ขนส่ง

การแก้ไขชื่อเป็นเส้นทางของตัวเอง และโปรไฟล์ที่บังคับใช้ตัวแก้ไขชื่อขององค์กรจะส่งคำค้นไปที่นั่นแม้การเชื่อมต่อออกในเครื่อง ตัวแก้ไขชื่อบันทึกชื่อที่คุณขอ ซึ่งมักให้ข้อมูลมากกว่าที่อยู่ที่คุณไปถึง DNS แบบแยกส่วนจำกัดสิ่งนี้ไว้ที่โดเมนภายใน และเบราว์เซอร์ที่มีตัวแก้ไขชื่อแบบเข้ารหัสของตัวเองสามารถข้ามการจัดวางนี้ได้ทั้งหมด สามองค์ประกอบสามารถตอบคำค้นได้ และมีเพียงหนึ่งเดียวที่เป็นของบริษัท

ทดสอบเส้นทางการแก้ไขชื่อแยกจากเส้นทางการกำหนดเส้นทาง คำค้นที่ไปยังตัวแก้ไขชื่อขององค์กรขณะที่การเชื่อมต่อออกในเครื่องเป็นการกำหนดค่าที่แยกส่วนซึ่งทำงานตามที่ออกแบบ และยังเปิดเผยชื่ออยู่

ตรวจสอบเส้นทางและแชร์

สองข้อเท็จจริงกำหนดว่าคุณกำลังเปิดเผยอะไรจริงๆ และทั้งสองมองเห็นได้บนเครื่อง คำสั่งด้านล่างแสดงเส้นทางเริ่มต้นขณะอุโมงค์ทำงาน เส้นทางการแก้ไขชื่อ และแชร์ที่คอมพิวเตอร์นี้เผยแพร่ รันก่อนเชื่อมต่อ แล้วรันอีกครั้งขณะเชื่อมต่ออยู่

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

เส้นทางเริ่มต้นที่ระบุอะแดปเตอร์ของอุโมงค์หมายความว่าบริษัทขนส่งทราฟฟิกสาธารณะของคุณ และเส้นทางเริ่มต้นที่ระบุอะแดปเตอร์ของคุณเองหมายความว่าไม่ได้ขนส่ง แชร์ที่คำสั่งที่สามระบุเข้าถึงได้จากเครือข่ายองค์กรขณะอุโมงค์ทำงาน แม้ชื่อโฮสต์ปกติจะแก้ไขไม่ได้ และการเข้าถึงแบบผู้เยี่ยมชมทำให้เข้าถึงได้โดยไม่ต้องมีบัญชี โปรไฟล์ไฟร์วอลล์สำคัญเพราะอะแดปเตอร์ของอุโมงค์อาจถูกจัดประเภทเป็นสาธารณะ ซึ่งกำหนดว่าอนุญาตให้แชร์ไฟล์หรือไม่ อ่านทั้งสี่พร้อมกันแล้วขอบเขตจะถูกอธิบายแทนการเดา

เลือกการจัดวางจากขอบเขตนั้น การเชื่อมต่อโดยตรงให้นายจ้างเข้าถึงเครื่องมือได้กว้างที่สุด อุปกรณ์ของบริษัทเก็บการเฝ้าติดตามงานให้ห่างจากไฟล์ของคุณ และเครื่องเสมือนแยกการติดตั้งโดยไม่เปลี่ยนทราฟฟิกออกที่ใด บันทึกว่าเลือกเส้นทางใดและแชร์ใด