Hati o buong tunnel: ano ang itinatala pa rin ng iyong employer

Dumarating ang tanong bilang isang tanong, at kailangan nito ng dalawang sagot. Binabago ng tunnel kung saan naglalakbay ang iyong mga packet, habang binabago ng kliyente kung ano ang tumatakbo sa makina, at ang paghahalo ng dalawa ay nagbubunga ng alinman sa huwad na katiyakan o hindi kailangang pag-aalala. Paghiwalayin ang dalawa at ang natitirang sagot ay nagmumula sa mga katotohanang maaari mong suriin.

Ang kalahati ng trapiko ay pinapasya ng rutang ini-install ng profile. Ang kalahati ng makina ay pinapasya ng ginagawa ng kliyente at ng inilalathala ng iyong sariling computer sa network.

May itinatago ang isang tanong na dalawa

Ang buong tunnel ay nag-i-install ng default na ruta sa pamamagitan ng gateway ng kumpanya, kaya lumalabas doon ang mga pampublikong kahilingan at ang gateway, ang proxy nito at ang resolver nito ay maaaring magtala ng mga destinasyon, oras at dami. Ang hati na tunnel ay nag-i-install lamang ng mga piling ruta, kaya lumalabas ang karaniwang pag-browse sa sarili mong koneksyon at ang iyong provider ang nakakakita nito sa halip. Wala sa dalawang kaayusan ang tungkol sa lakas ng pag-encrypt: pinoprotektahan ng HTTPS ang nilalaman sa dalawang kaso at inilalantad ang destinasyon sa dalawang kaso. Ang pagkakaiba ay ang pag-ruta, at ang pag-ruta ay nakikita sa makina mismo.

Maaari ring mag-install ang kliyente ng driver na sumusuri ng mga packet, magpatakbo ng pagsusuri ng kalagayan bago payagan ang isang koneksyon, at mag-ulat kung anong software ang naroroon. Ito ay mga kakayahan ng software at hindi ng tunnel, at nalalapat sa dalawang mode ng pag-ruta.

Ano ang itinatago ng gateway at proxy

Kapag tumuturo ang default na ruta sa loob ng tunnel, asahan na ang resolver ng kumpanya at anumang web proxy ay may talaan ng mga destinasyong nakontak mo. Nagtatala rin ang proxy ng linyang kahilingan ng isang hindi naka-encrypt na kahilingang HTTP at ang destinasyong CONNECT na ginagamit para sa HTTPS, na mas mayamang talaan kaysa log ng daloy. Nananatiling hindi mabasa ang nilalaman sa loob ng HTTPS maliban kung ang organisasyon ay nag-install ng sarili nitong pinagkakatiwalaang sertipiko sa makina, na isang hiwalay at nakikitang pagbabago. Ang metadata ng daloy lamang ay sapat upang matukoy kung kailan ka nagtatrabaho at aling mga serbisyo ang ginamit mo.

Sa hati na tunnel, lumalabas ang mga pampublikong destinasyong iyon sa sarili mong link, kaya ang talaan ng kumpanya ay sumasaklaw sa mga panloob na pangalan at destinasyong pang-kumpanya sa halip na lahat. Iyon ay isang mas maliit na talaan, at hindi pa rin walang laman. Anumang pag-aangkin na ang hati na tunnel ay nangangahulugang wala nakikitang anuman ang employer ay mali lang.

Nakikita ng DNS ang mga pangalang maaaring hindi dalhin ng tunnel

Ang paglutas ng pangalan ay sariling landas, at ang profile na nagtatakda ng resolver ng kumpanya ay nagpapadala ng mga paghahanap doon kahit na lumalabas nang lokal ang koneksyon. Itinatala ng resolver ang mga pangalang hiniling mo, na kadalasang mas nagbibigay-kaalaman kaysa sa mga address na naabot mo. Ang hati na DNS ay nililimitahan ito sa mga panloob na domain, at ang browser na may sariling naka-encrypt na resolver ay maaaring lubusang iwasan ang kaayusan. Tatlong bahagi ang makakasagot sa isang paghahanap, at isa lamang sa kanila ang pag-aari ng kumpanya.

Subukin ang landas ng paglutas nang hiwalay sa landas ng pag-ruta. Ang paghahanap na papunta sa resolver ng kumpanya habang lokal na lumalabas ang koneksyon ay isang hati na konfigurasyong gumagana ayon sa disenyo, at inilalantad pa rin nito ang mga pangalan.

Suriin ang ruta at ang mga share

Dalawang katotohanan ang nagpapasya kung ano ang tunay mong inilalantad, at pareho silang nakikita sa makina. Ipinapakita ng mga utos sa ibaba ang mga default na ruta habang nakataas ang tunnel, ang landas ng paglutas ng pangalan at ang mga share na inilalathala ng computer na ito. Patakbuhin ang mga ito bago kumonekta, at muli habang nakakonekta.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Ang default na rutang nagpapangalan sa adapter ng tunnel ay nangangahulugang dinadala ng kumpanya ang iyong pampublikong trapiko, at ang default na rutang nagpapangalan sa sarili mong adapter ay nangangahulugang hindi ito dinadala. Ang share na inilista ng ikatlong utos ay maaabot mula sa network ng kumpanya habang nakataas ang tunnel, kahit hindi nalulutas ang karaniwang hostname, at ginagawa itong maaabot ng guest access nang walang account. Mahalaga ang profile ng firewall dahil ang adapter ng tunnel ay maaaring uriin bilang pampubliko, na nagpapasya kung pinapayagan ang pagbabahagi ng file. Basahin ang apat nang sabay at ang hangganan ay inilalarawan sa halip na hinuhulaan.

Piliin ang kaayusan mula sa hangganang iyon: ang direktang koneksyon ay nagbibigay sa mga tool ng employer ng pinakamalaking abot, ang aparato ng kumpanya ay naglalayo ng pagsubaybay sa trabaho mula sa iyong mga file, at ang virtual machine ay naghihiwalay sa pag-install nang hindi binabago kung saan lumalabas ang trapiko. Itala kung aling ruta at aling mga share ang tinanggap mo.