چگونه بازنویسی درگاه پیش‌فرض در وی‌پی‌ان‌های تمام‌تونل ترافیک خانگی را به فایروال شرکتی هدایت می‌کند

یک لپ‌تاپ شرکتی متصل به وای‌فای خانگی در حالت عادی، دقیقاً مانند یک گوشی هوشمند شخصی، ترافیک اینترنت خود را از طریق ارائه‌دهنده خدمات اینترنت (ISP) محلی هدایت می‌کند. تنها نقطه‌ای که این رفتار تغییر می‌یابد، فعال شدن یک شبکه خصوصی مجازی تمام‌تونل (Full-Tunnel VPN) است که بلافاصله درگاه پیش‌فرض (Default Gateway) دستگاه را بازنویسی می‌کند.[5]

به محض برقراری این اتصال، روتر محلی برای تمام درخواست‌های خارجی کنار گذاشته می‌شود. تک‌تک بسته‌های داده، از پخش موسیقی پس‌زمینه در اسپاتیفای گرفته تا ورود به حساب بانکی شخصی، رمزگذاری شده و پیش از رسیدن به اینترنت عمومی مستقیماً به فایروال کارفرما ارسال می‌شوند.[1][5]

این سازوکار متکی بر بازنویسی جدول مسیریابی موسوم به قاعده 0.0.0.0/0 است. کلاینت وی‌پی‌ان با اعمال اولویت نسبت به تمامی مسیرهای شبکه دیگر، سیستم‌عامل را وادار می‌سازد سرور شرکتی را تنها نقطه خروجی تمام ترافیک دیجیتال بداند.[1]

دکتر سارا جنکینز، پژوهشگر امنیت شبکه در دانشگاه مریلند توضیح می‌دهد: «لحظه‌ای که پیکربندی تمام‌تونل به دستگاه اعمال می‌شود، مفهوم شبکه محلی عملاً برای آن ماشین محو می‌گردد. مرز نظارتی شرکت بدون وقفه گسترش می‌یابد تا اتاق نشیمن کارمند را نیز در بر بگیرد.»[5]

داده‌های نظرسنجی شبکه‌های سازمانی گارتنر در سال ۲۰۲۵ نشان می‌دهد ۶۸ درصد از شرکت‌های لیست فورچون ۵۰۰ به‌طور پیش‌فرض وی‌پی‌ان‌های تمام‌تونل را مستقر می‌کنند. این پیکربندی جلوگیری از نشت داده‌ها را بر حریم خصوصی ترجیح می‌دهد و تضمین می‌کند کارکنان دورکار مشمول همان قوانین فیلترینگ و پایش وب حاکم بر فضای دفتر کار شوند.[2]

سازوکار بازنویسی درگاه پیش‌فرض

اجرای فنی این ضبط ترافیک به تغییر معیارهای مسیریابی (Routing Metrics) دستگاه میزبان وابسته است. هنگامی که یک اتصال اینترنتی معمولی برقرار است، سیستم‌عامل به روتر محلی یک مقدار متریک اختصاص می‌دهد و آن را مسیر اصلی برای آدرس‌های آی‌پی ناشناخته تعیین می‌کند.[1][5]

کلاینت‌های وی‌پی‌ان سازمانی نظیر سیسکو AnyConnect و پالو آلتو GlobalProtect هنگام اجرا، یک آداپتور شبکه مجازی جدید را به سیستم‌عامل تزریق می‌کنند. به این آداپتور مجازی مقدار متریک کمتری نسبت به کارت وای‌فای فیزیکی اختصاص داده می‌شود و در نتیجه به مسیر ترجیحی برای تمامی داده‌های خروجی تبدیل می‌گردد.[4][5]

از آنجا که پروتکل‌های شبکه همواره مسیر با کمترین متریک را انتخاب می‌کنند، سیستم‌عامل بدون تفکیک، تمام ترافیک را به داخل تونل رمزگذاری‌شده روانه می‌سازد. روتر خانگی صرفاً مانند یک لوله عبور کور عمل کرده و ترافیک کپسوله‌شده وی‌پی‌ان را بدون امکان بررسی محتوا به دیتاسنتر شرکتی منتقل می‌کند.[1]

این بازنویسی فراتر از مرور وب ساده عمل می‌کند؛ به‌گونه‌ای که تله‌متری برنامه‌های پس‌زمینه، کوئری‌های دی‌ان‌اس محلی و حتی تلاش برای ارتباط با ابزارهای خانه هوشمند را ضبط می‌کند. کارمندی که قصد دارد سندی را روی چاپگر بی‌سیم خانگی چاپ کند، غالباً با مسدود شدن اتصال مواجه می‌شود زیرا ترافیک به شبکه شرکتی در صدها کیلومتر دورتر هدایت شده است.[5]

بر اساس گزارش فنی سال ۲۰۲۶ کارگروه مهندسی اینترنت (IETF): «مدیران معمولاً به مدل تمام‌تونل اتکا می‌کنند زیرا ساده‌ترین روش برای تضمین انطباق با چارچوب‌های نظارتی چون HIPAA یا PCI-DSS است. با این حال، این شیوه بدون تمایز، ترافیک شخصی کارمند را که شرکت هیچ حق قانونی برای بررسی آن ندارد ضبط می‌کند.»[1]

فایروال شرکتی چه چیزهایی را رصد می‌کند؟

پس از رسیدن ترافیک کپسوله‌شده به شبکه شرکت، فایروال‌های پیشرفته سازمانی آن را رمزگشایی و پردازش می‌کنند. تجهیزاتی که توسط شرکت‌هایی نظیر فورتینت و چک‌پوینت ساخته می‌شوند، بسته‌های داده را درست مانند زمانی که کارمند پشت میز اداره نشسته است بررسی و تحلیل می‌کنند.[2]

میزان وضوح و دید فایروال تا حد زیادی به این بستگی دارد که آیا کارفرما یک گواهی ریشه (Root Certificate) سفارشی روی دستگاه نصب کرده است یا خیر. بدون این گواهی، فایروال فقط می‌تواند آدرس‌های آی‌پی مقصد و نام‌های دامنه را مشاهده کند و صرفاً مراجعه کارمند به یک وب‌سایت درمانی یا بانکی را ثبت کند.[3]

چنانچه گواهی ریشه شرکتی نصب شده باشد، فایروال قادر است فرایند رمزگشایی SSL/TLS را پیاده کرده و به مدیران فناوری اطلاعات دسترسی کامل به محتوای متنی ترافیک اعطا کند. این امر امکان خواندن عبارت‌های جستجو، محتوای ایمیل‌های شخصی و رصد دقیق فایل‌های دانلودی را فراهم می‌سازد.[3][5]

تحلیل سال ۲۰۲۴ بنیاد مرزهای الکترونیکی (EFF) نشان داد ۴۲ درصد از لپ‌تاپ‌های تحت مدیریت سازمانی به‌طور پیش‌فرض حاوی این گواهی‌های رهگیری هستند. برای کاربران این تجهیزات، تمایز میان استفاده شخصی و وظایف کاری به‌طور کامل توسط اتصال وی‌پی‌ان از میان می‌رود.[3]

مارکوس تورن، وکیل حریم خصوصی دیجیتال در سانفرانسیسکو، می‌گوید: «ما مکرراً پرونده‌هایی را می‌بینیم که در آن‌ها بخش منابع انسانی در جریان اختلافات اخراج، لاگ‌های فایروال را مطالبه می‌کند و به سوابق جستجوهای درمانی شخصی فرد دسترسی می‌یابد. وی‌پی‌ان تمام‌تونل چنین نظارت گسترده‌ای را ممکن ساخته است.»[5]

گزینه جایگزین: تونل تفکیکی

جایگزین اصلی این شیوه ضبط فراگیر، پیکربندی موسوم به اسپلیت‌تونلینگ (Split Tunneling) است. در حالت تونل تفکیکی، کلاینت وی‌پی‌ان صرفاً ترافیک مقصدهای وابسته به شبکه شرکت را رمزگذاری و هدایت می‌کند و اجازه می‌دهد سایر داده‌ها طبق روال عادی از روتر خانگی عبور کنند.[4]

اگر کارمندی به پورتال منابع انسانی داخلی روی آدرس 10.0.5.20 دسترسی پیدا کند، تنها همان درخواست از تونل امن ارسال می‌شود. همزمان، درخواست مراجعه به یک سایت خبری یا تماشای ویدیوی آنلاین مستقیماً به اینترنت عمومی می‌رود و فایروال شرکت را کاملاً دور می‌زند.[4][5]

تونل تفکیکی بار پهنای باند شبکه‌های سازمانی را به شدت کاهش می‌دهد، چرا که ترافیک‌های سنگین نظیر ویدیوکنفرانس و به‌روزرسانی‌های نرم‌افزاری دیگر پهنای باند گران‌قیمت شرکتی را مصرف نمی‌کنند. سیسکو برآورد می‌کند فعال‌سازی اسپلیت‌تونل برای تیمز مایکروسافت و زوم می‌تواند تا ۶۵ درصد از مصرف پهنای باند وی‌پی‌ان بکاهد.[4]

با وجود این مزایای عملکردی، بسیاری از مدیران ارشد امنیت اطلاعات همچنان در به‌کارگیری این روش تردید دارند. از نظر تئوری، اسپلیت‌تونلینگ اجازه می‌دهد یک دستگاه خانگی آلوده به پلی ارتباطی تبدیل شود و بدافزارها از طریق اینترنت عمومی به زیرساخت امن سازمانی رخنه کنند.[2][4]

گزارش سفید IETF می‌افزاید: «صنعت امنیت هم‌اکنون میان معماری دسترسی شبکه مبتنی بر اعتماد صفر و پدافند سنتی پیرامونی دچار چالش است. تا زمانی که اعتماد صفر جایگزین وی‌پی‌ان‌های قدیمی نشود، اصطکاک میان حفظ حریم خصوصی دستگاه و اشراف امنیتی شرکت پابرجا خواهد ماند.»[1]

پیامدهای حقوقی و نقض حریم خصوصی

چارچوب‌های قانونی حاکم بر این گردآوری داده‌ها در حوزه‌های قضایی مختلف بسیار متفاوت است. در ایالات متحده، قانون حفظ حریم خصوصی ارتباطات الکترونیکی عموماً به کارفرما اجازه نظارت بر ترافیک دستگاه‌های شرکتی را می‌دهد، مشروط بر اینکه کارمند مرام‌نامه استفاده قابل‌قبول را امضا کرده باشد.[5]

مقررات اروپایی اما محدودیت‌های بسیار سخت‌گیرانه‌تری بر رهگیری فایروال اعمال می‌کنند. طبق مقررات عمومی حفاظت از داده‌ها (GDPR)، کارفرمایان باید ضرورت قانونی و متناسبی برای بازرسی ترافیک ارائه کنند و گردآوری داده‌های شخصی تصادفی از طریق وی‌پی‌ان تمام‌تونل معمولاً اصول کمینه‌سازی داده‌ها را نقض می‌کند.

در حکمی در سال ۲۰۲۵، دادگاه کار فدرال آلمان یک شرکت تولیدی را به دلیل عدم غیرفعال‌سازی رمزگشایی SSL روی ترافیک شخصی در وی‌پی‌ان سازمانی، مبلغ ۱.۲ میلیون یورو جریمه کرد. دادگاه رأی داد که بازنویسی درگاه پیش‌فرض مصداق گسترش غیرقانونی نظارت کاری به حریم خصوصی است.

تورن توضیح می‌دهد: «شرکت‌های بین‌المللی ناچارند پروفایل‌های وی‌پی‌ان متفاوتی برای مناطق جغرافیایی گوناگون تعریف کنند. پیکربندی مسیریابی که در تگزاس کاملاً قانونی است، می‌تواند در برلین نقض سنگین قوانین به شمار آید.»[5]

راهکارهای کاهش نظارت ناخواسته

برای کارکنان دورکار، مطمئن‌ترین راهکار جهت پیشگیری از افشای ناخواسته داده‌ها، جداسازی فیزیکی تجهیزات است. وب‌گردی شخصی، عملیات بانکی و تحقیقات پزشکی باید منحصراً روی سخت‌افزار شخصی که هرگز به وی‌پی‌ان شرکتی متصل نیست انجام پذیرد.[3]

کارمندان می‌توانند هنگام استفاده از دستگاه شرکتی، با بررسی آدرس آی‌پی عمومی خود در مرورگر، وضعیت مسیریابی را پایش کنند. اگر آی‌پی نمایش‌داده‌شده متعلق به دیتاسنتر کارفرما باشد و نه شرکت ارائه‌دهنده اینترنت خانگی، نشان‌دهنده فعال بودن بازنویسی تمام‌تونل است.[5]

مدیران شبکه به‌طور فزاینده‌ای به سمت راهکارهای مدرن لبه سرویس دسترسی امن (SASE) حرکت می‌کنند که میکروتونل‌های مبتنی بر برنامه را جایگزین وی‌پی‌ان‌های سنتی می‌سازد. این پلتفرم‌ها دسترسی را صرفاً برای یک نرم‌افزار خاص احراز می‌کنند و نیازی به بازنویسی کل جدول مسیریابی سیستم‌عامل ندارند.[2]

گذار به معماری SASE شتاب گرفته و گارتنر پیش‌بینی می‌کند ۸۰ درصد از شرکت‌ها تا سال ۲۰۲۸ این فناوری را به کار گیرند؛ تحولی که امکان تفکیک دسترسی امن کاری از نظارت بر شبکه‌های خانگی را محقق خواهد ساخت.[2]

تا فراگیر شدن این فناوری‌های مدرن، وی‌پی‌ان‌های تمام‌تونل بخش جدایی‌ناپذیر دورکاری خواهند بود. کارکنان باید با این پیش‌فرض فعالیت کنند که تمام داده‌های ارسالی در زمان فعال بودن اتصال، توسط زیرساخت امنیتی کارفرما ثبت، بازرسی و ذخیره می‌شود.[3][5]