Separarea poate fi definită prin prefixe de destinație, aplicații, domenii sau politici. Aceasta schimbă calea pe care o ia traficul; nu decide prin ea însăși dacă traficul sau endpointul este demn de încredere.
Organizațiile folosesc split tunneling pentru a reduce încărcarea gateway-ului, pentru a evita rute indirecte către servicii cloud apropiate sau pentru a păstra accesul local. Securitatea sa depinde de definiții complete ale rutelor și de tratarea coerentă a DNS, IPv4, IPv6, actualizărilor și eșecurilor.
Puncte esențiale
Domeniul politiciiIdentificați fiecare destinație corporativă și dependență de suport care trebuie să folosească tunelul. Tratați accesul la subrețeaua locală, aplicațiile personale și căile directe către cloud ca decizii explicite, nu implicite.
Controale de endpoint și rețeaAplicați firewall de gazdă, patching, detectare la endpoint, controale de identitate și DNS securizat pe ambele căi. O rețea locală ostilă rămâne o amenințare.
Verificări operaționaleTestați modificările de rute, reconectările, portalurile captive, IPv6, rezoluția numelor, actualizările de software și întreruperile tunelului. Jurnalele trebuie să arate ce politică a selectat fiecare cale, fără a colecta date personale de navigare inutile.
Limitare importantăDoar traficul selectat pentru tunel primește protecția și inspecția centralizată a acestuia. Traficul direct poate ocoli filtrarea și telemetria organizațională, în timp ce un endpoint compromis poate comunica pe ambele căi. Tunelarea completă elimină acea ocolire specifică, dar introduce dependențe de capacitate și disponibilitate ale gateway-ului; nici ea nu este un control de securitate complet.