Rozdělení může být definováno cílovými prefixy, aplikacemi, doménami nebo politikou. Mění, kterou cestou provoz jde; samo o sobě nerozhoduje, zda je provoz či koncové zařízení důvěryhodný.
Organizace používají split tunneling ke snížení zatížení brány, vyhnutí se nepřímým trasám k blízkým cloudovým službám nebo zachování lokálního přístupu. Jeho zabezpečení závisí na úplných definicích tras a konzistentním zacházení s DNS, IPv4, IPv6, aktualizacemi a selháními.
Klíčové body
Rozsah politikyIdentifikujte každý podnikový cíl a podpůrnou závislost, které musí tunel používat. Přístup k lokální podsíti, osobní aplikace a přímé cloudové cesty považujte za explicitní rozhodnutí, nikoli výchozí stav.
Kontroly koncového zařízení a sítěUplatněte hostitelský firewall, patchování, detekci na koncových zařízeních, kontroly identity a bezpečné DNS na obě cesty. Nepřátelská lokální síť zůstává hrozbou.
Provozní kontrolyTestujte změny tras, opětovná připojení, captive portály, IPv6, resolving jmen, softwarové aktualizace a výpadky tunelu. Logy by měly ukazovat, která politika zvolila každou cestu, bez sběru zbytečných osobních dat prohlížení.
Důležité omezeníPouze provoz vybraný pro tunel dostává jeho ochranu a centralizovanou inspekci. Přímý provoz může obcházet organizační filtrování a telemetrii, zatímco kompromitovaný koncové zařízení může komunikovat přes obě cesty. Full tunneling toto konkrétní obcházení odstraňuje, ale zavádí závislosti na kapacitě a dostupnosti brány; rovněž to není úplná bezpečnostní kontrola.