Што працоўны VPN-шлюз можа ўбачыць пра тое, дзе вы знаходзіцеся

Адрас, які бачыць вэб-сайт пасля вашага падключэння да працоўнага VPN, не з'яўляецца адрасам, які працоўны шлюз бачыў пры падключэнні. Шлюз прымае ўваходны тунель з любой сеткі, у якой знаходзіцца ваш ноўтбук, і гэтая крыніца бачная яму яшчэ да таго, як з'явіцца хоць які трафік у тунелі. Тое, што браўзер пазней паведамляе пра карпаратыўны выхад, не сцірае папярэдняе назіранне, бо гэта назіранні за рознымі рэчамі. Разуменне таго, што ёсць што, здымае большую частку спрэчкі пра тое, што працадаўца можа і чаго не можа вывесці.

Два адрасы, два розныя назіранні

Механізм — гэта сокет, а не палітыка. Калі ваш кліент адкрывае тунель, ён дасылае пакеты з лакальнага адраса на публічны адрас шлюза, а ядро шлюза запісвае крыніцу гэтага патоку. Гэтая крыніца — сеткавы канчатковы пункт, які ваш пастаўшчык прызначыў злучэнню ў той момант.

За хатнім маршрутызатарам крыніца — публічны адрас маршрутызатара пасля NAT. У мабільнай сетцы гэта можа быць адрас NAT узроўню аператара, які адначасова дзеліцца з многімі іншымі абанентамі, таму два незнаёмыя чалавекі могуць выглядаць так, нібы прыйшлі з аднаго месца. У карпаратыўнай гасцявой сетцы гэта выхад той сеткі. У любым выпадку шлюз даведваецца адрас, порт і адзнаку часу, а адрас належыць сеткаваму аператару, а не чалавеку.

Што шлюз насамрэч запісвае

Што запісваецца потым — асобнае пытанне ад таго, што тэхнічна бачнае. Шлюз можа запісваць злучэнне, ідэнтычнасць аўтэнтыфікацыі і прызначаны адрас тунеля, а можа не запісваць амаль нічога акрамя стану сеанса. Захаванне, экспарт у SIEM і карэляцыя з уліковым запісам — гэта рашэнні аб разгортванні, і ніводнае з іх не вынікае з таго, што крыніца была наглядальнай.

Разглядайце бачнасць і захаванне як дзве восі. Сэрвіс можа бачыць усё і нічога не захоўваць або бачыць мала і перадаваць усё далей.

Практычная выснова ў тым, што вы не можаце меркаваць пра запісы свайго працадаўцы па кліенце, які ўсталявалі. Спытайце, што сэрвіс наладжаны збіраць і на колькі, і чакайце, што адказам будзе дакумент палітыкі, а не тэхнічная гарантыя. Варта таксама аддзяліць VPN-шлюз ад усяго іншага на кіраванай прыладзе, бо праграмнае забеспячэнне канчатковага пункта мае ўласныя магчымасці і ўласныя запісы. Асабісты VPN змяняе маршрут; ён не змяняе таго, што можа назіраць праграма, якая ўжо працуе на машыне.

Што база IP можа і чаго не можа сказаць

База геалакацыі IP бярэ гэты адрас і вяртае палі: краіну, рэгіён, горад, паштовы індэкс, шырату і даўгату, а таксама радыус дакладнасці, калі пастаўшчык яго дае. Гэтыя палі — ацэнкі, атрыманыя з даных рэгістрацыі, тапалогіі сеткі і вымеранай затрымкі, і яны пагаршаюцца па-рознаму на кожным узроўні. Адказ пра краіну можа быць цвёрдым, тады як адказ пра горад — здагадкай.

Уласнае кіраўніцтва MaxMind па дакладнасці ясна кажа пра розніцу, якая тут важная: лакалізаваць VPN-сервер не значыць лакалізаваць яго карыстальнікаў, і даныя не могуць ідэнтыфікаваць гаспадарку, асобу або вулічны адрас. Чытайце радыус дакладнасці і палі ўпэўненасці там, дзе прадукт іх паказвае, і стаўцеся да адсутных даных як да адсутных, а не як да прадвызначанага значэння. Шпілька на карце — гэта выбар падачы, а не вымярэнне. Запісы рэгістрацыі і зваротны DNS — яшчэ адзін від доказаў: whois 203.0.113.5 кажа, які аператар трымае размеркаванне, а dig +short -x 203.0.113.5 кажа, як аператар яго назваў, і ніводнае не з'яўляецца сцвярджэннем пра тое, дзе стаяў чалавек.

Запісы, якія не ўзаемазамяняльныя

Гэта рэжа ў абодва бакі, таму гэта дрэнная аснова для катэгарычнага рашэння. Ацэнка, якая супадае з адабраным рэгіёнам, не даказвае прысутнасці. Нясупадзенне само па сабе не даказвае падману.

Разгляд дыстанцыйнай працы, які абапіраецца на адзін пошук, адказвае на іншае пытанне, чым пастаўленае. Яму патрэбен кантэкст: якія месцы дазваляе дамоўленасць, што паведаміў чалавек і ці згаджаюцца іншыя доказы. Гэта кіраўнічы працэс з тэхнічнымі ўваходамі, а не тэхнічны вердыкт.

Іншыя запісы, якія можа мець арганізацыя, не ўзаемазамяняльныя з адрасам крыніцы. Налада часавага пояса — гэта перавага прылады, якую можа змяніць любы; падзея ўліковага запісу фіксуе, што сеанс быў, а не дзе; чытанне месцазнаходжання прылады з праграмнага забеспячэння канчатковага пункта — іншы сэнсар з іншымі дазволамі і іншымі рэжымамі памылак. Меркаваць, што кожны працадаўца збірае ўсё гэта, гэтак жа памылкова, як меркаваць, што не збіраецца нічога. Карысная дысцыпліна — назваць запіс, яго ўладальніка і рэжым памылак, перш чым разглядаць яго як доказ чаго-небудзь.

Што з гэтага вынікае для працоўнай дамоўленасці

Для вашых уласных дамоўленасцей пытанне ў тым, што арганізацыя збірае і якія працоўныя месцы дазваляе. Гэта два адказы з дзвюх розных частак бізнесу.

Паказ адраса крыніцы IP не можа вырашыць дазвол працаваць з пэўнага месца, а змена маршруту не замяняе дамоўленасці. Калі палітыка неясная, прадуктыўны крок — спытаць, а не аптымізаваць сеткавы шлях. Тэхнічныя абыходы звычайна ствараюць менавіта той запіс, які выглядае як утойванне.

Абараняльнае тэхнічнае сцвярджэнне вузкае, і варта трымаць яго вузкім: шлюз назірае за сеткавым паходжаннем уваходнага злучэння, база геалакацыі можа ацаніць месца для гэтага паходжання, а любое сцвярджэнне пра фізічнае становішча чалавека патрабуе доказаў за межамі абодвух. Кіраўніцтва MaxMind па дакладнасці — гэта спасылка на тое, што гэтыя ацэнкі падтрымліваюць. Усё пасля гэтага — пытанне палітыкі ў тэхнічным касцюме.