Bölünmüş veya tam tünel: işvereniniz hâlâ neyi kaydediyor

Soru tek bir soru olarak gelir ve iki yanıt gerektirir. Tünel, paketlerinizin nereye gittiğini değiştirir; istemci ise makinede neyin çalıştığını değiştirir ve ikisini karıştırmak ya yanlış bir güven ya da gereksiz bir telaş üretir. İkisini ayırın, yanıtın geri kalanı doğrulayabileceğiniz olgulardan gelir.

Trafik yarısına profilin kurduğu rota karar verir. Makine yarısına istemcinin ne yaptığı ve kendi bilgisayarınızın ağda ne yayımladığı karar verir.

Bir soru iki şeyi saklar

Tam tünel, şirketin ağ geçidi üzerinden varsayılan bir rota kurar; bu yüzden genel istekler oradan çıkar ve ağ geçidi, proxy’si ve çözümleyicisi hedefleri, saatleri ve hacimleri kaydedebilir. Bölünmüş tünel yalnızca seçili rotaları kurar; bu yüzden olağan tarama kendi bağlantınızdan çıkar ve onu bunun yerine sağlayıcınız görür. İki düzen de şifreleme gücüyle ilgili değildir: HTTPS her iki durumda da içeriği korur ve her iki durumda da hedefi açığa çıkarır. Fark yönlendirmededir ve yönlendirme makinenin kendisinde görülür.

İstemci ayrıca paketleri denetleyen bir sürücü kurabilir, bir bağlantıya izin vermeden önce sağlık kontrolü çalıştırabilir ve hangi yazılımın bulunduğunu bildirebilir. Bunlar tünelin değil, yazılımın yetenekleridir ve iki yönlendirme kipinde de geçerlidir.

Ağ geçidi ve proxy ne saklar

Varsayılan rota tünele işaret ettiğinde, kurumsal çözümleyicinin ve herhangi bir web proxy’sinin iletişim kurduğunuz hedeflerin kaydını tutmasını bekleyin. Proxy ayrıca şifrelenmemiş bir HTTP isteğinin istek satırını ve HTTPS için kullanılan CONNECT hedefini günlüğe kaydeder; bu, akış günlüğünden daha zengin bir kayıttır. HTTPS içindeki içerik, kuruluş makineye kendi güvenilir sertifikasını kurmadıkça okunamaz kalır; bu ayrı ve görünür bir değişikliktir. Yalnızca akış üst verisi, ne zaman çalıştığınızı ve hangi hizmetleri kullandığınızı belirlemeye yeter.

Bölünmüş tünelde bu genel hedefler kendi hattınızdan çıkar; bu yüzden şirketin kaydı her şeyi değil, iç adları ve kurumsal hedefleri kapsar. Bu daha küçük bir kayıttır ve hâlâ boş değildir. Bölünmüş tünelin işverenin hiçbir şey görmediği anlamına geldiği yönündeki her iddia yalnızca yanlıştır.

DNS, tünelin taşımayabileceği adları görür

Ad çözümlemesi kendi yoludur ve kurumsal çözümleyiciyi dayatan profil, bağlantı yerel olarak çıksa bile sorguları oraya gönderir. Çözümleyici istediğiniz adları kaydeder; bu genellikle ulaştığınız adreslerden daha bilgilendiricidir. Bölünmüş DNS bunu iç etki alanlarıyla sınırlar ve kendi şifreli çözümleyicisine sahip bir tarayıcı düzeni tamamen atlayabilir. Bir sorguyu üç bileşen yanıtlayabilir ve bunlardan yalnızca biri şirkete aittir.

Çözümleme yolunu yönlendirme yolundan ayrı test edin. Bağlantı yerel olarak çıkarken kurumsal çözümleyiciye giden sorgu, tasarlandığı gibi çalışan bölünmüş bir yapılandırmadır ve yine de adları açığa çıkarır.

Rotayı ve paylaşımları kontrol edin

Gerçekte neyi açığa çıkardığınıza iki olgu karar verir ve ikisi de makinede görülür. Aşağıdaki komutlar tünel açıkken varsayılan rotaları, ad çözümleme yolunu ve bu bilgisayarın yayımladığı paylaşımları gösterir. Bağlanmadan önce ve bağlıyken yeniden çalıştırın.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Varsayılan rotanın tünel bağdaştırıcısını adlandırması, şirketin genel trafiğinizi taşıdığı anlamına gelir; kendi bağdaştırıcınızı adlandırması ise taşımadığı anlamına gelir. Üçüncü komutun listelediği paylaşım, tünel açıkken kurumsal ağdan erişilebilir; olağan ana bilgisayar adı çözümlenmediğinde bile ve konuk erişimi onu hesap olmadan erişilebilir kılar. Güvenlik duvarı profili önemlidir çünkü tünel bağdaştırıcısı genel olarak sınıflandırılabilir ve bu, dosya paylaşımına izin verilip verilmediğini belirler. Dördünü birlikte okuyun, sınır tahmin edilmek yerine tanımlanır.

Düzeni bu sınıra göre seçin: doğrudan bağlantı işverenin araçlarına en geniş erişimi verir, şirket cihazı iş izlemeyi dosyalarınızdan uzak tutar ve sanal makine trafiğin nereden çıktığını değiştirmeden kurulumu yalıtır. Hangi rotayı ve hangi paylaşımları kabul ettiğinizi not edin.