Đường hầm chia hay toàn phần: điều mà chủ lao động của bạn vẫn ghi lại

Câu hỏi đến như một câu hỏi duy nhất, nhưng nó cần hai câu trả lời. Đường hầm thay đổi nơi các gói tin của bạn đi qua, trong khi ứng dụng khách thay đổi điều gì chạy trên máy, và gộp hai điều đó lại sẽ tạo ra hoặc sự an tâm giả tạo hoặc nỗi lo không cần thiết. Hãy tách riêng chúng và phần còn lại của câu trả lời đến từ những dữ kiện bạn có thể tự kiểm tra.

Nửa phần lưu lượng do tuyến mà hồ sơ cài đặt quyết định. Nửa phần máy do điều ứng dụng khách làm và điều máy tính của bạn công bố trên mạng quyết định.

Một câu hỏi che giấu hai

Đường hầm toàn phần cài một tuyến mặc định qua cổng của công ty, nên các yêu cầu công cộng đi ra từ đó và cổng, proxy và trình phân giải của nó có thể ghi lại đích đến, thời điểm và khối lượng. Đường hầm chia chỉ cài những tuyến được chọn, nên việc duyệt web thông thường đi ra qua kết nối của chính bạn và nhà cung cấp của bạn nhìn thấy nó thay vào đó. Không cách bố trí nào nói về độ mạnh của mã hóa: HTTPS bảo vệ nội dung trong cả hai trường hợp và để lộ đích đến trong cả hai trường hợp. Khác biệt là ở việc định tuyến, và định tuyến hiển thị ngay trên máy.

Ứng dụng khách cũng có thể cài một trình điều khiển kiểm tra gói tin, chạy kiểm tra tình trạng trước khi cho phép kết nối và báo cáo phần mềm nào đang có mặt. Đó là năng lực của phần mềm chứ không phải của đường hầm, và chúng áp dụng trong cả hai chế độ định tuyến.

Cổng và proxy giữ lại gì

Khi tuyến mặc định trỏ vào đường hầm, hãy chuẩn bị rằng trình phân giải của công ty và bất kỳ proxy web nào sẽ giữ bản ghi các đích đến bạn đã liên hệ. Proxy còn ghi lại dòng yêu cầu của một yêu cầu HTTP không mã hóa và đích CONNECT dùng cho HTTPS, đây là bản ghi phong phú hơn nhật ký luồng. Nội dung bên trong HTTPS vẫn không đọc được trừ khi tổ chức đã cài chứng chỉ tin cậy của riêng mình trên máy, và đó là một thay đổi riêng biệt và hữu hình. Chỉ riêng siêu dữ liệu luồng đã đủ để xác định khi nào bạn làm việc và dùng những dịch vụ nào.

Với đường hầm chia, những đích công cộng đó đi ra qua đường truyền của chính bạn, nên bản ghi của công ty bao gồm tên nội bộ và đích công ty thay vì mọi thứ. Đó là bản ghi nhỏ hơn, và vẫn không phải bản ghi rỗng. Bất kỳ khẳng định nào rằng đường hầm chia nghĩa là chủ lao động không thấy gì đều đơn giản là sai.

DNS thấy những tên mà đường hầm có thể không mang

Phân giải tên là một con đường riêng, và hồ sơ áp đặt trình phân giải của công ty sẽ gửi truy vấn đến đó ngay cả khi kết nối đi ra cục bộ. Trình phân giải ghi lại những tên bạn đã hỏi, điều này thường cho biết nhiều hơn các địa chỉ bạn đã đến. DNS chia giới hạn điều đó trong các miền nội bộ, và trình duyệt có trình phân giải mã hóa riêng có thể bỏ qua toàn bộ cách bố trí. Ba thành phần có thể trả lời một truy vấn, và chỉ một trong số đó thuộc về công ty.

Hãy thử con đường phân giải tách biệt với con đường định tuyến. Một truy vấn đi đến trình phân giải của công ty trong khi kết nối đi ra cục bộ là cấu hình chia đang hoạt động đúng như thiết kế, và nó vẫn để lộ tên.

Kiểm tra tuyến và các chia sẻ

Hai dữ kiện quyết định điều bạn thực sự phơi ra, và cả hai đều hữu hình trên máy. Các lệnh dưới đây hiển thị các tuyến mặc định khi đường hầm được bật, con đường phân giải tên và các chia sẻ mà máy tính này công bố. Hãy chạy chúng trước khi kết nối, rồi chạy lại khi đang kết nối.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName corp.example.com -Type A
Get-SmbShare
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Một tuyến mặc định nêu tên bộ điều hợp của đường hầm nghĩa là công ty mang lưu lượng công cộng của bạn, và một tuyến mặc định nêu tên bộ điều hợp của chính bạn nghĩa là công ty không mang. Một chia sẻ được lệnh thứ ba liệt kê có thể truy cập từ mạng công ty khi đường hầm được bật, ngay cả khi tên máy chủ thông thường không phân giải được, và quyền truy cập khách làm cho nó truy cập được mà không cần tài khoản. Hồ sơ tường lửa quan trọng vì bộ điều hợp đường hầm có thể được phân loại là công cộng, điều này quyết định liệu chia sẻ tệp có được phép hay không. Hãy đọc cả bốn cùng nhau và ranh giới được mô tả thay vì đoán.

Hãy chọn cách bố trí từ ranh giới đó: kết nối trực tiếp cho các công cụ của chủ lao động phạm vi lớn nhất, thiết bị của công ty giữ việc giám sát công việc xa các tệp của bạn, và máy ảo cô lập việc cài đặt mà không thay đổi nơi lưu lượng đi ra. Ghi lại tuyến nào và những chia sẻ nào bạn đã chấp nhận.