ما يمكن أن تراه بوابة VPN الخاصة بالعمل عن مكان وجودك

العنوان الذي تراه صفحة ويب بعد اتصالك بشبكة VPN للعمل ليس العنوان الذي رأته بوابة العمل عند اتصالك. تقبل البوابة نفقًا واردًا من الشبكة التي يوجد عليها حاسوبك المحمول أيًّا كانت، وهذا المصدر مرئي لها قبل أن يوجد أي مرور داخل النفق. وإبلاغ المتصفح لاحقًا عن مخرج للشركة لا يمحو الملاحظة السابقة، لأن الاثنين ملاحظتان لشيئين مختلفين. وفهم أيّهما أيٌّ يحسم معظم الجدل حول ما يمكن لجهة العمل أن تستنتجه وما لا يمكنها.

عنوانان، ملاحظتان مختلفتان

الآلية مقبس وليست سياسة. عندما يفتح عميلك النفق، يرسل حزمًا من عنوان محلي إلى العنوان العام للبوابة، ويسجل نواة البوابة مصدر ذلك التدفق. وذلك المصدر هو نقطة النهاية الشبكية التي أسندها مزود خدمتك إلى الاتصال في تلك اللحظة.

خلف موجه منزلي يكون المصدر هو العنوان العام للموجه بعد NAT. وعلى شبكة جوّال قد يكون عنوان NAT على مستوى المشغل مشتركًا مع كثير من المشتركين الآخرين في الوقت نفسه، ولهذا قد يبدو شخصان لا تربطهما صلة وكأنهما يأتيان من المكان نفسه. وعلى شبكة ضيوف في شركة يكون المصدر هو مخرج تلك الشبكة. وفي كل الحالات تعرف البوابة عنوانًا ومنفذًا وطابعًا زمنيًا، والعنوان يخص مشغّل شبكة لا شخصًا.

ما تسجله البوابة فعليًا

ما يُكتب بعد ذلك سؤال منفصل عن ما هو مرئي تقنيًا. قد تسجل البوابة الاتصال وهوية المصادقة وعنوان النفق المخصص، أو قد لا تسجل تقريبًا شيئًا يتجاوز حالة الجلسة. الاحتفاظ والتصدير إلى نظام SIEM والربط بحساب قرارات نشر، ولا شيء منها ينتج من كون المصدر قابلًا للملاحظة.

تعامل مع الظهور والاحتفاظ كمحورين. يمكن لخدمة أن ترى كل شيء ولا تحتفظ بشيء، أو ترى قليلًا وتمرر كل شيء.

النتيجة العملية هي أنك لا تستطيع الاستدلال على سجلات جهة عملك من العميل الذي ثبتّه. اسأل عمّا هي مهيأة لجمع الخدمة ولأي مدة، وتوقع أن يكون الجواب وثيقة سياسة لا ضمانًا تقنيًا. ويستحق أيضًا فصل بوابة VPN عن كل شيء آخر على جهاز مُدار، لأن برمجيات الطرفية لها قدراتها وسجلاتها. شبكة VPN شخصية تغيّر مسارًا؛ ولا تغيّر ما يمكن لبرمجيات تعمل أصلًا على الجهاز أن تلاحظه.

ما يمكن وما لا يمكن أن تقوله قاعدة بيانات IP

تأخذ قاعدة بيانات الموقع الجغرافي لعناوين IP ذلك العنوان وتعيد حقولًا: البلد والمنطقة والمدينة والرمز البريدي وخط العرض وخط الطول، مع نصف قطر دقة حيث يقدم المورّد واحدًا. تلك الحقول تقديرات مستمدة من بيانات التسجيل وبنية الشبكة وزمن الاستجابة المقاس، وتتدهور بطرق مختلفة في كل مستوى. قد تكون الإجابة عن البلد متينة بينما تكون الإجابة عن المدينة تخمينًا.

إن إرشادات الدقة الخاصة بـ MaxMind صريحة بشأن التمييز المهم هنا: تحديد موقع خادم VPN ليس تحديد موقع مستخدميه، ولا يمكن للبيانات التعرف على أسرة أو فرد أو عنوان شارع. اقرأ نصف قطر الدقة وحقول الثقة حيث يعرضها المنتج، وتعامل مع البيانات المفقودة على أنها مفقودة لا كقيمة افتراضية. دبوس على الخريطة خيار عرض لا قياس. وسجلات التسجيل وDNS العكسي نوع آخر من الأدلة: whois 203.0.113.5 يخبرك أي مشغّل يملك التخصيص، و dig +short -x 203.0.113.5 يخبرك بما سمّاه المشغّل، وليس أي منهما تصريحًا عن مكان وقوف شخص.

سجلات غير قابلة للتبادل

وهذا يقطع في الاتجاهين، ولهذا هو أساس ضعيف لقرار قاطع. التقدير الذي يوافق المنطقة المعتمدة لا يثبت الوجود. وعدم التوافق لا يثبت بذاته الخداع.

المراجعة الخاصة بالعمل عن بُعد التي تعتمد على بحث واحد تجيب عن سؤال مختلف عن السؤال المطروح. ما تحتاجه هو السياق: أي مواقع يسمح بها الترتيب، وما أفاد به الشخص، وهل تتفق الأدلة الأخرى. فتلك عملية إدارية بمدخلات تقنية لا حكم تقني.

السجلات الأخرى التي قد تحتفظ بها منظمة ليست قابلة للتبادل مع عنوان مصدر. إعداد المنطقة الزمنية تفضيل جهاز يمكن لأي أحد تغييره؛ وحدث الحساب يسجل أن جلسة حدثت لا أين؛ وقراءة موقع الجهاز من برمجيات الطرفية مستشعر آخر بأذونات أخرى وأنماط خطأ أخرى. افتراض أن كل جهة عمل تجمعها كلها خطأ كافتراض أن أيا منها لا يُجمع. الانضباط المفيد هو تسمية السجل ومالكه ونمط خطئه قبل التعامل معه كدليل على أي شيء.

ما يترتب على ترتيب العمل

بالنسبة إلى ترتيباتك أنت، السؤال الذي يجب طرحه هو ما تجمعه المنظمة وأي مواقع عمل تسمح بها. وهذان جوابان من جزأين مختلفين من العمل.

عرض عنوان IP المصدر لا يمكن أن يحسم إذن العمل من مكان، وتغيير مسار ليس بديلًا عن الاتفاق على الترتيب. وإذا كانت السياسة غير واضحة، فالخطوة المثمرة هي السؤال لا تحسين مسار الشبكة. فالحلول التقنية تميل إلى إنتاج السجل نفسه الذي يبدو كإخفاء.

العبارة التقنية القابلة للدفاع ضيقة، ويستحق إبقاءها ضيقة: البوابة تلاحظ الأصل الشبكي للاتصال الوارد، وقد تقدّر قاعدة بيانات للموقع الجغرافي موقعًا لذلك الأصل، وأي ادعاء عن الموضع الجسدي لشخص يحتاج دليلًا يتجاوز الاثنين. إرشادات الدقة من MaxMind هي المرجع لما تدعمه تلك التقديرات. وكل ما بعد ذلك سؤال سياسة يرتدي زيًا تقنيًا.