Какво може да види работният VPN шлюз за това къде се намирате

Адресът, който уебсайтът вижда, след като се свържете с работен VPN, не е адресът, който работният шлюз е видял при свързването. Шлюзът приема входящ тунел от всяка мрежа, в която е лаптопът ви, и този източник е видим за него преди да съществува какъвто и да е тунелен трафик. Това, че браузърът по-късно съобщава корпоративен изход, не изтрива предишното наблюдение, защото двете са наблюдения на различни неща. Разбирането кое е кое решава по-голямата част от спора какво може и какво не може да заключи работодателят.

Два адреса, две различни наблюдения

Механизмът е сокет, а не политика. Когато клиентът ви отвори тунела, той изпраща пакети от локален адрес към публичния адрес на шлюза, а ядрото на шлюза записва източника на този поток. Този източник е мрежовата крайна точка, която доставчикът ви е задал на връзката в онзи момент.

Зад домашен рутер източникът е публичният адрес на рутера след NAT. В мобилна мрежа това може да е адрес на NAT на ниво оператор, споделян едновременно с много други абонати, затова двама несвързани души могат да изглеждат сякаш идват от едно и също място. В корпоративна гостуваща мрежа това е изходът на тази мрежа. Във всеки случай шлюзът научава адрес, порт и времева марка, а адресът принадлежи на мрежов оператор, а не на човек.

Какво всъщност записва шлюзът

Какво се записва след това е отделен въпрос от това какво е технически видимо. Шлюзът може да записва връзката, идентичността за удостоверяване и зададения адрес на тунела, или да не записва почти нищо освен състоянието на сесията. Съхранение, експорт към SIEM и корелация с акаунт са решения за внедряване и никое от тях не следва от факта, че източникът е бил наблюдаем.

Третирайте видимостта и съхранението като две оси. Услуга може да вижда всичко и да не пази нищо, или да вижда малко и да препраща всичко.

Практическото следствие е, че не можете да съдите за записите на работодателя си по клиента, който сте инсталирали. Питайте какво е конфигурирана да събира услугата и за колко време, и очаквайте отговорът да е документ за политика, а не техническа гаранция. Струва си също VPN шлюзът да се отделя от всичко останало на управлявано устройство, защото софтуерът на крайната точка има собствени възможности и собствени записи. Личен VPN променя маршрут; той не променя какво може да наблюдава софтуер, който вече работи на машината.

Какво може и какво не може да каже IP база

База данни за геолокация по IP взема този адрес и връща полета: държава, регион, град, пощенски код, ширина и дължина, плюс радиус на точност, където доставчикът дава такъв. Тези полета са оценки, изведени от данни за регистрация, мрежова топология и измерено закъснение, и се влошават по различен начин на всяко ниво. Отговорът за държава може да е стабилен, докато отговорът за град е догадка.

Собствените насоки на MaxMind за точност са категорични за разграничението, което е важно тук: локализирането на VPN сървър не е локализиране на неговите потребители и данните не могат да идентифицират домакинство, човек или адрес на улица. Четете радиуса на точност и полетата за увереност там, където продуктът ги показва, и третирайте липсващите данни като липсващи, а не като стойност по подразбиране. Карфица върху карта е избор на представяне, не измерване. Регистрационните записи и обратният DNS са още един вид доказателство: whois 203.0.113.5 ви казва кой оператор държи разпределението, а dig +short -x 203.0.113.5 ви казва как операторът го е нарекъл, и нито едно от двете не е твърдение за това къде е стоял човек.

Записи, които не са взаимозаменяеми

Това реже и в двете посоки, затова е слаба основа за категорично решение. Оценка, която съвпада с одобрения регион, не доказва присъствие. Несъответствието само по себе си не доказва измама.

Преглед на дистанционната работа, който разчита на едно търсене, отговаря на друг въпрос, различен от зададения. Нужен му е контекст: кои места позволява уговорката, какво е декларирал човекът и дали други доказателства съвпадат. Това е управленски процес с технически входни данни, а не техническа присъда.

Другите записи, които една организация може да има, не са взаимозаменяеми с адрес на източник. Настройката на часовата зона е предпочитание на устройството, което всеки може да смени; събитие в акаунт записва, че е имало сесия, не къде; отчитане на местоположение на устройство от софтуер на крайната точка е друг сензор с други разрешения и други режими на грешка. Да приемем, че всеки работодател събира всичко това, е също толкова погрешно, колкото да приемем, че нищо не се събира. Полезната дисциплина е да назовем записа, собственика му и режима му на грешка, преди да го третираме като доказателство за каквото и да е.

Какво следва за една работна уговорка

За вашите собствени уговорки въпросът е какво събира организацията и кои работни места позволява. Това са два отговора от два различни дяла на бизнеса.

Показването на IP адрес на източника не може да реши разрешение за работа от дадено място, а смяната на маршрут не замества договарянето на уговорката. Ако политиката е неясна, продуктивната стъпка е да питате, а не да оптимизирате мрежовия път. Техническите заобикаляния обикновено създават точно онзи запис, който изглежда като прикриване.

Защитимото техническо твърдение е тясно и си струва да остане тясно: шлюзът наблюдава мрежовия произход на входящата връзка, база данни за геолокация може да оцени местоположение за този произход, а всяко твърдение за физическото положение на човек се нуждае от доказателства отвъд двете. Насоките на MaxMind за точност са справката за това какво подкрепят тези оценки. Всичко след това е въпрос на политика в технически костюм.