Розділений чи повний тунель: що ваш роботодавець досі записує

Питання надходить як одне питання, а потребує двох відповідей. Тунель змінює, куди прямують ваші пакети, а клієнт змінює, що працює на машині, і змішування цих двох дає або хибний спокій, або зайву тривогу. Розділіть їх, і решта відповіді випливає з фактів, які ви можете перевірити.

Половину про трафік визначає маршрут, який встановлює профіль. Половину про машину визначають те, що робить клієнт, і те, що публікує в мережі ваш власний комп’ютер.

Одне питання приховує два

Повний тунель встановлює маршрут за замовчуванням через шлюз компанії, тож публічні запити виходять звідти, і шлюз, його проксі та його резолвер можуть записувати призначення, час і обсяги. Розділений тунель встановлює лише вибрані маршрути, тож звичайний перегляд виходить через ваше власне з’єднання, і його бачить натомість ваш провайдер. Жодна зі схем не про силу шифрування: HTTPS захищає вміст в обох випадках і розкриває призначення в обох випадках. Різниця в маршрутизації, а маршрутизація видима на самій машині.

Клієнт може також встановити драйвер, який перевіряє пакети, запустити перевірку стану перед дозволом з’єднання і повідомити, яке програмне забезпечення присутнє. Це можливості програмного забезпечення, а не тунелю, і вони діють в обох режимах маршрутизації.

Що зберігають шлюз і проксі

Коли маршрут за замовчуванням вказує в тунель, очікуйте, що корпоративний резолвер і будь-який вебпроксі вестимуть запис відвіданих призначень. Проксі додатково записує рядок запиту незашифрованого HTTP-запиту та призначення CONNECT, яке використовується для HTTPS, що є багатшим записом, ніж журнал потоків. Вміст усередині HTTPS залишається нечитабельним, якщо організація не встановила на машині власний довірений сертифікат, а це окрема й видима зміна. Самих метаданих потоку достатньо, щоб встановити, коли ви працювали і якими сервісами користувалися.

За розділеного тунелю ці публічні призначення виходять через вашу власну ланку, тож запис компанії охоплює внутрішні імена та корпоративні призначення замість усього. Це менший запис, і все ж не порожній. Будь-яке твердження, що розділений тунель означає, ніби роботодавець нічого не бачить, просто хибне.

DNS бачить імена, які тунель може не нести

Розв’язання імен — окремий шлях, і профіль, що нав’язує корпоративний резолвер, надсилає запити туди навіть тоді, коли з’єднання виходить локально. Резолвер записує імена, які ви запитували, а це часто інформативніше за досягнуті адреси. Розділений DNS обмежує це внутрішніми доменами, і браузер із власним зашифрованим резолвером може повністю обійти схему. Відповісти на запит можуть три компоненти, і лише один із них належить компанії.

Перевіряйте шлях розв’язання окремо від шляху маршрутизації. Запит до корпоративного резолвера, поки з’єднання виходить локально, — це розділена конфігурація, що працює як задумано, і вона все одно розкриває імена.

Перевірте маршрут і спільні ресурси

Два факти вирішують, що ви насправді розкриваєте, і обидва видимі на машині. Команди нижче показують маршрути за замовчуванням із піднятим тунелем, шлях розв’язання імен і спільні ресурси, які публікує цей комп’ютер. Запустіть їх перед підключенням, а потім ще раз, коли підключені.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Маршрут за замовчуванням, що називає адаптер тунелю, означає, що компанія несе ваш публічний трафік, а маршрут за замовчуванням, що називає ваш власний адаптер, означає, що не несе. Спільний ресурс, перелічений третьою командою, доступний із корпоративної мережі, поки тунель піднятий, навіть коли звичайне ім’я хоста не розв’язується, а гостьовий доступ робить його доступним без облікового запису. Профіль брандмауера важливий, бо адаптер тунелю може бути класифікований як публічний, і це вирішує, чи дозволено обмін файлами взагалі. Прочитайте всі чотири разом, і межа буде описана, а не вгадана.

Виберіть схему з огляду на цю межу: пряме підключення дає інструментам роботодавця найбільший охоплення, пристрій компанії тримає нагляд за роботою далі від ваших файлів, а віртуальна машина ізолює встановлення, не змінюючи того, звідки виходить трафік. Запишіть, який маршрут і які спільні ресурси ви прийняли.