Šta radna VPN kapija može vidjeti o tome gdje ste

Adresa koju web stranica vidi nakon što se povežete na radnu VPN nije adresa koju je radna kapija vidjela kada ste se povezali. Kapija prihvata dolazni tunel iz koje god mreže vaš laptop bio, a taj izvor mu je vidljiv prije nego što uopće postoji tunelirani saobraćaj. Preglednik koji nakon toga prijavi korporativni izlaz ne briše ranije opažanje, jer su to opažanja dviju različitih stvari. Razumijevanje koja je koja rješava većinu rasprave o tome šta poslodavac može, a šta ne može zaključiti.

Dvije adrese, dva različita opažanja

Mehanizam je socket, a ne politika. Kada vaš klijent otvori tunel, on šalje pakete s lokalne adrese na javnu adresu kapije, a kernel kapije bilježi izvor tog toka. Taj izvor je mrežna krajnja tačka koju je vaš provajder dodijelio vezi u tom trenutku.

Iza kućnog rutera izvor je javna adresa rutera nakon NAT-a. Na mobilnoj mreži to može biti NAT adresa na razini operatera, dijeljena s mnogim drugim pretplatnicima u isto vrijeme, zbog čega dva nepovezana čovjeka mogu izgledati kao da dolaze s istog mjesta. Na korporativnoj gostujućoj mreži to je izlaz te mreže. U svakom slučaju kapija saznaje adresu, port i vremensku oznaku, a adresa pripada mrežnom operateru, a ne osobi.

Šta kapija zapravo bilježi

Šta se poslije zapisuje odvojeno je pitanje od onoga što je tehnički vidljivo. Kapija može bilježiti vezu, identitet autentifikacije i dodijeljenu adresu tunela, ili može ne bilježiti gotovo ništa osim stanja sesije. Zadržavanje, izvoz u SIEM i korelacija s računom su odluke o implementaciji i nijedna od njih ne slijedi iz činjenice da je izvor bio uočljiv.

Vidljivost i zadržavanje tretirajte kao dvije ose. Servis može vidjeti sve i ne čuvati ništa, ili vidjeti malo i proslijediti sve.

Praktična posljedica je da ne možete rasuđivati o evidenciji svog poslodavca na osnovu klijenta koji ste instalirali. Pitajte šta je servis konfigurisan da prikuplja i koliko dugo, i očekujte da će odgovor biti politika, a ne tehnička garancija. Također je vrijedno odvojiti VPN kapiju od svega ostalog na upravljanom uređaju, jer softver na krajnjoj tački ima svoje mogućnosti i svoju evidenciju. Osobna VPN mijenja rutu; ne mijenja ono što softver koji već radi na mašini može uočiti.

Šta IP baza može, a šta ne može reći

Baza IP geolokacije uzima tu adresu i vraća polja: zemlju, regiju, grad, poštanski broj, geografsku širinu i dužinu, plus radijus tačnosti gdje ga dobavljač daje. Ta polja su procjene izvedene iz registracijskih podataka, mrežne topologije i izmjerene latencije i degradiraju različito na svakom nivou. Odgovor za zemlju može biti čvrst dok je odgovor za grad nagađanje.

MaxMindove vlastite smjernice o tačnosti eksplicitno ističu razliku koja je ovdje važna: locirati VPN server nije locirati njegove korisnike, a podaci ne mogu identificirati domaćinstvo, pojedinca ni uličnu adresu. Čitajte radijus tačnosti i polja pouzdanosti tamo gdje ih proizvod izlaže, a podatke koji nedostaju tretirajte kao nedostatak, a ne kao zadanu vrijednost. Oznaka na karti je izbor prikaza, a ne mjerenje. Registracijske evidencije i reverzni DNS su još jedna vrsta dokaza: whois 203.0.113.5 vam kaže koji operator drži alokaciju, a dig +short -x 203.0.113.5 kaže kako ju je operator nazvao, i nijedno nije tvrdnja o tome gdje je osoba stajala.

Evidencija koja nije zamjenjiva

To siječe na obje strane, zbog čega je slab osnov za kategoričnu odluku. Procjena koja se poklapa s odobrenom regijom ne dokazuje prisustvo. Nepoklapanje samo po sebi ne dokazuje obmanu.

Pregled rada na daljinu koji se oslanja na jedno pretraživanje odgovara na drugo pitanje od onog koje se postavlja. Potreban mu je kontekst: koje lokacije aranžman dozvoljava, šta je osoba prijavila i slažu li se drugi dokazi. To je upravni proces s tehničkim ulazima, a ne tehnička presuda.

Ostala evidencija koju organizacija može imati nije zamjenjiva s izvornom adresom. Postavka vremenske zone je preferencija uređaja koju svako može promijeniti; događaj na računu bilježi da se sesija dogodila, a ne gdje; očitanje lokacije uređaja iz softvera na krajnjoj tački je drugi senzor s drugim dozvolama i drugim načinima greške. Pretpostaviti da svaki poslodavac prikuplja sve to jednako je pogrešno kao pretpostaviti da ništa ne prikuplja. Korisna disciplina je imenovati evidenciju, njenog vlasnika i njen način greške prije nego je tretirate kao dokaz bilo čega.

Šta iz toga slijedi za radni aranžman

Za vaše vlastite aranžmane, pitanje koje treba postaviti je šta organizacija prikuplja i koje radne lokacije dozvoljava. To su dva odgovora iz dva različita dijela poslovanja.

Prikaz izvornog IP-a ne može riješiti dozvolu za rad s neke lokacije, a promjena rute nije zamjena za dogovor o aranžmanu. Ako je politika nejasna, produktivan potez je pitati, a ne optimizirati mrežnu putanju. Tehnički zaobilazni putevi obično proizvedu upravo evidenciju koja izgleda kao prikrivanje.

Odbranjiva tehnička tvrdnja je uska i vrijedi je takvom zadržati: kapija opaža mrežno porijeklo dolazne veze, baza geolokacije može procijeniti lokaciju tog porijekla, a svaka tvrdnja o fizičkom položaju osobe treba dokaze izvan jednog i drugog. MaxMindove smjernice o tačnosti referenca su za ono što te procjene podržavaju. Sve nakon toga je političko pitanje u tehničkom kostimu.