Bo'lingan yoki to'liq tunnel: ish beruvchingiz hali ham nimani qayd etadi

Savol bitta savol sifatida keladi, ammo ikkita javob talab qiladi. Tunnel paketlaringiz qayerga ketishini o'zgartiradi, mijoz esa mashinada nima ishlashini o'zgartiradi, va ikkalasini aralashtirish yo yolg'on xotirjamlik, yo ortiqcha xavotir tug'diradi. Ikkalasini ajrating, javobning qolgan qismi siz tekshira oladigan faktlardan kelib chiqadi.

Trafikning yarmini profil o'rnatadigan marshrut belgilaydi. Mashinaning yarmini mijoz nima qilishi va o'z kompyuteringiz tarmoqda nima e’lon qilishi belgilaydi.

Bitta savol ikkitasini yashiradi

To'liq tunnel kompaniya darvozasi orqali standart marshrut o'rnatadi, shuning uchun ommaviy so'rovlar o'sha yerdan chiqadi va darvoza, uning proksisi va uning yechuvchisi manzillarni, vaqtlarni va hajmlarni qayd etishi mumkin. Bo'lingan tunnel faqat tanlangan marshrutlarni o'rnatadi, shuning uchun oddiy ko'rish o'z ulanishingiz orqali chiqadi va uni o'rniga provayderingiz ko'radi. Har ikki tuzilma ham shifrlash kuchi haqida emas: HTTPS ikkala holatda ham tarkibni himoya qiladi va ikkala holatda ham manzilni oshkor qiladi. Farq marshrutlashda, marshrutlash esa mashinaning o'zida ko'rinadi.

Mijoz paketlarni tekshiruvchi drayverni o'rnatishi, ulanishga ruxsat berishdan oldin holat tekshiruvini o'tkazishi va qanday dasturiy ta'minot borligini bildirishi mumkin. Bular tunnelning emas, dasturiy ta'minotning imkoniyatlari va marshrutlashning ikkala rejimida ham amal qiladi.

Darvoza va proksi nimani saqlaydi

Standart marshrut tunnel ichiga qaraganda, korporativ yechuvchi va har qanday veb-proksi siz bog'langan manzillarning yozuvini saqlashini kuting. Proksi qo'shimcha ravishda shifrlanmagan HTTP so'rovining so'rov satrini va HTTPS uchun ishlatiladigan CONNECT manzilini qayd etadi, bu oqim jurnalidan boyroq yozuv. HTTPS ichidagi tarkib o'qilmaydigan bo'lib qoladi, agar tashkilot mashinaga o'zining ishonchli sertifikatini o'rnatmagan bo'lsa, bu alohida va ko'rinadigan o'zgarish. Faqat oqim metama'lumotlari qachon ishlaganingiz va qaysi xizmatlardan foydalanganingizni aniqlash uchun yetarli.

Bo'lingan tunnelda bu ommaviy manzillar o'z ulanishingiz orqali chiqadi, shuning uchun kompaniya yozuvi hamma narsa emas, ichki nomlar va korporativ manzillarni qamrab oladi. Bu kichikroq yozuv va hali ham bo'sh emas. Bo'lingan tunnel ish beruvchi hech narsa ko'rmaydi degan har qanday da'vo shunchaki noto'g'ri.

DNS tunnel tashimasligi mumkin bo'lgan nomlarni ko'radi

Nomlarni yechish o'z yo'lida, va korporativ yechuvchini majburlovchi profil ulanish mahalliy chiqqanda ham so'rovlarni o'sha yerga yuboradi. Yechuvchi siz so'ragan nomlarni qayd etadi, bu ko'pincha erishgan manzillardan ko'ra ma'lumotliroq. Bo'lingan DNS buni ichki domenlar bilan cheklaydi, o'z shifrlangan yechuvchisiga ega brauzer esa bu tuzilmani butunlay chetlab o'tishi mumkin. So'rovga uchta komponent javob berishi mumkin, va ulardan faqat bittasi kompaniyaga tegishli.

Yechish yo'lini marshrutlash yo'lidan alohida sinab ko'ring. Ulanish mahalliy chiqayotganda korporativ yechuvchiga boradigan so'rov dizayn bo'yicha ishlaydigan bo'lingan konfiguratsiya, va u hali ham nomlarni oshkor qiladi.

Marshrut va umumiy resurslarni tekshiring

Siz aslida nimani oshkor qilayotganingizni ikkita fakt belgilaydi, ikkalasi ham mashinada ko'rinadi. Quyidagi buyruqlar tunnel ko'tarilgan holatda standart marshrutlarni, nomlarni yechish yo'lini va bu kompyuter e'lon qiladigan umumiy resurslarni ko'rsatadi. Ularni ulanishdan oldin, so'ngra ulangan holda yana ishga tushiring.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Tunnel adapterini nomlovchi standart marshrut kompaniya ommaviy trafikingizni tashishini bildiradi, va o'z adapteringizni nomlovchi standart marshrut uni tashimasligini bildiradi. Uchinchi buyruq ro'yxatga olgan umumiy resurs tunnel ko'tarilganda korporativ tarmoqdan yetib boriladi, hatto oddiy xost nomi yechilmasa ham, va mehmon kirishi uni hisobsiz yetib boriladigan qiladi. Firewall profili muhim, chunki tunnel adapteri ommaviy deb tasniflanishi mumkin, bu esa fayl almashishga umuman ruxsat bor-yo'qligini belgilaydi. To'rttasini birga o'qing va chegara taxmin qilinmay, tasvirlanadi.

Tuzilmani shu chegaradan tanlang: to'g'ridan-to'g'ri ulanish ish beruvchi asboblariga eng katta qamrovni beradi, kompaniya qurilmasi ish monitoringini fayllaringizdan uzoqda tutadi, virtual mashina esa trafik qayerdan chiqishini o'zgartirmasdan o'rnatishni izolyatsiya qiladi. Qaysi marshrut va qaysi umumiy resurslarni qabul qilganingizni yozib qo'ying.