Was ein Arbeits-VPN-Gateway darüber sehen kann, wo Sie sind

Die Adresse, die eine Website sieht, nachdem Sie sich mit einem Arbeits-VPN verbunden haben, ist nicht die Adresse, die das Arbeits-Gateway beim Verbindungsaufbau gesehen hat. Das Gateway nimmt einen eingehenden Tunnel aus dem Netzwerk an, in dem sich Ihr Laptop gerade befindet, und diese Quelle ist für es sichtbar, bevor überhaupt getunnelter Verkehr existiert. Dass ein Browser danach einen Firmenausgang meldet, löscht die frühere Beobachtung nicht, denn beide sind Beobachtungen verschiedener Dinge. Zu verstehen, welche welche ist, entscheidet den größten Teil der Debatte darüber, was ein Arbeitgeber ableiten kann und was nicht.

Zwei Adressen, zwei verschiedene Beobachtungen

Der Mechanismus ist ein Socket, keine Richtlinie. Wenn Ihr Client den Tunnel öffnet, sendet er Pakete von einer lokalen Adresse an die öffentliche Adresse des Gateways, und der Kernel des Gateways zeichnet die Quelle dieses Flusses auf. Diese Quelle ist der Netzwerkendpunkt, den Ihr Anbieter der Verbindung in diesem Moment zugewiesen hat.

Hinter einem Heimrouter ist die Quelle die öffentliche Adresse des Routers nach NAT. In einem Mobilfunknetz kann es eine Carrier-Grade-NAT-Adresse sein, die gleichzeitig mit vielen anderen Teilnehmern geteilt wird, weshalb zwei unabhängige Personen so aussehen können, als kämen sie vom selben Ort. In einem Firmengastnetz ist es der Ausgang dieses Netzes. In jedem Fall erfährt das Gateway eine Adresse, einen Port und einen Zeitstempel, und die Adresse gehört einem Netzbetreiber und nicht einer Person.

Was das Gateway tatsächlich aufzeichnet

Was danach aufgezeichnet wird, ist eine andere Frage als das, was technisch sichtbar ist. Das Gateway kann die Verbindung, die Authentifizierungsidentität und die zugewiesene Tunneladresse protokollieren oder fast nichts außer dem Sitzungszustand. Aufbewahrung, Export in ein SIEM und Korrelation mit einem Konto sind Bereitstellungsentscheidungen, und keine davon folgt daraus, dass die Quelle beobachtbar war.

Behandeln Sie Sichtbarkeit und Aufbewahrung als zwei Achsen. Ein Dienst kann alles sehen und nichts behalten oder wenig sehen und alles weitergeben.

Die praktische Folge ist, dass Sie aus dem Client, den Sie installiert haben, nicht auf die Aufzeichnungen Ihres Arbeitgebers schließen können. Fragen Sie, was der Dienst zu erfassen konfiguriert ist und wie lange, und erwarten Sie, dass die Antwort ein Richtliniendokument ist und keine technische Garantie. Es lohnt sich außerdem, das VPN-Gateway von allem anderen auf einem verwalteten Gerät zu trennen, denn Endpoint-Software hat eigene Möglichkeiten und eigene Aufzeichnungen. Ein persönliches VPN ändert eine Route; es ändert nicht, was Software beobachten kann, die bereits auf dem Rechner läuft.

Was eine IP-Datenbank sagen kann und was nicht

Eine IP-Geolokalisierungsdatenbank nimmt diese Adresse und liefert Felder: Land, Region, Stadt, Postleitzahl, Breiten- und Längengrad sowie einen Genauigkeitsradius, wo der Anbieter einen angibt. Diese Felder sind Schätzungen, die aus Registrierungsdaten, Netzwerktopologie und gemessener Latenz abgeleitet werden, und sie verschlechtern sich auf jeder Ebene unterschiedlich. Eine Antwort zum Land kann solide sein, während die Antwort zur Stadt eine Vermutung ist.

Die eigene Genauigkeitsrichtlinie von MaxMind ist ausdrücklich zu der Unterscheidung, auf die es hier ankommt: Einen VPN-Server zu lokalisieren heißt nicht, seine Nutzer zu lokalisieren, und die Daten können weder einen Haushalt noch eine Einzelperson noch eine Straßenadresse identifizieren. Lesen Sie den Genauigkeitsradius und die Konfidenzfelder dort, wo das Produkt sie bereitstellt, und behandeln Sie fehlende Daten als fehlend und nicht als Standardwert. Eine Kartenmarkierung ist eine Darstellungsentscheidung, keine Messung. Registrierungseinträge und Reverse-DNS sind noch eine andere Art von Beleg: whois 203.0.113.5 sagt Ihnen, welcher Betreiber die Zuteilung hält, und dig +short -x 203.0.113.5 sagt Ihnen, wie der Betreiber sie benannt hat, und keines von beiden ist eine Aussage darüber, wo eine Person stand.

Aufzeichnungen, die nicht austauschbar sind

Das schneidet in beide Richtungen, weshalb es eine schlechte Grundlage für eine kategorische Entscheidung ist. Eine Schätzung, die zur genehmigten Region passt, beweist keine Anwesenheit. Eine Abweichung beweist für sich genommen keinen Betrug.

Eine Homeoffice-Prüfung, die sich auf eine einzige Abfrage stützt, beantwortet eine andere Frage als die gestellte. Was sie braucht, ist Kontext: welche Orte die Vereinbarung zulässt, was die Person angegeben hat und ob andere Belege übereinstimmen. Das ist ein Managementprozess mit technischen Eingaben, kein technisches Urteil.

Die anderen Aufzeichnungen, die eine Organisation haben kann, sind nicht gegen eine Quelladresse austauschbar. Eine Zeitzoneneinstellung ist eine Gerätepräferenz, die jeder ändern kann; ein Kontoereignis hält fest, dass eine Sitzung stattfand, nicht wo; eine Gerätestandortmessung aus Endpoint-Software ist ein anderer Sensor mit anderen Berechtigungen und anderen Fehlermodi. Anzunehmen, jeder Arbeitgeber erfasse alle davon, ist ebenso falsch wie anzunehmen, es werde keines erfasst. Die nützliche Disziplin ist, die Aufzeichnung, ihren Eigentümer und ihren Fehlermodus zu benennen, bevor man sie als Beleg für irgendetwas behandelt.

Was daraus für eine Arbeitsvereinbarung folgt

Für Ihre eigenen Vereinbarungen lautet die Frage, was die Organisation erfasst und welche Arbeitsorte sie zulässt. Das sind zwei Antworten aus zwei verschiedenen Teilen des Geschäfts.

Eine Anzeige der Quell-IP kann die Erlaubnis, von einem Ort aus zu arbeiten, nicht klären, und eine Route zu ändern ist kein Ersatz dafür, die Vereinbarung abzustimmen. Ist die Richtlinie unklar, ist der produktive Schritt zu fragen, statt den Netzwerkpfad zu optimieren. Technische Umgehungen erzeugen meist genau die Aufzeichnung, die nach Verschleierung aussieht.

Die vertretbare technische Aussage ist eng, und es lohnt sich, sie eng zu halten: Das Gateway beobachtet den Netzwerkursprung der eingehenden Verbindung, eine Geolokalisierungsdatenbank kann für diesen Ursprung einen Standort schätzen, und jede Aussage über die physische Position einer Person braucht Belege jenseits von beidem. Die MaxMind-Genauigkeitsrichtlinie ist die Referenz dafür, was diese Schätzungen stützen. Alles danach ist eine Richtlinienfrage in technischem Kostüm.