دروازهٔ VPN کاری چه چیزهایی دربارهٔ موقعیت شما می‌بیند
دروازهٔ کارفرمای شما نشانی مبدأ خودِ اتصال را می‌بیند، نه خروجی‌ای که یک وب‌سایت می‌بیند. این حداکثر از یک تخمین درشت از موقعیت پشتیبانی می‌کند.
نشانی‌ای که یک وب‌سایت پس از اتصال شما به VPN کاری می‌بیند همان نشانی‌ای نیست که دروازهٔ کار در زمان اتصال دیده است. دروازه یک تونل ورودی را از هر شبکه‌ای که لپ‌تاپ شما در آن است می‌پذیرد، و آن مبدأ پیش از آنکه هر ترافیک تونل‌شده‌ای وجود داشته باشد برایش دیدنی است. اینکه مرورگر بعداً خروجی شرکتی را گزارش کند مشاهدهٔ پیشین را پاک نمی‌کند، زیرا این دو مشاهدهٔ دو چیز متفاوت‌اند. فهم اینکه کدام کدام است بخش عمدهٔ بحث دربارهٔ آنچه کارفرما می‌تواند و نمی‌تواند استنتاج کند را حل می‌کند.
دو نشانی، دو مشاهدهٔ متفاوت
سازوکار یک سوکت است نه یک سیاست. هنگامی که کلاینت شما تونل را باز می‌کند، بسته‌ها را از یک نشانی محلی به نشانی عمومی دروازه می‌فرستد، و هستهٔ دروازه مبدأ آن جریان را ثبت می‌کند. آن مبدأ نقطهٔ پایانی شبکه‌ای است که ارائه‌دهنده‌تان در آن لحظه به اتصال اختصاص داده است.
پشت یک روتر خانگی مبدأ نشانی عمومی روتر پس از NAT است. در یک شبکهٔ همراه ممکن است نشانی NAT در سطح اپراتور باشد که هم‌زمان با بسیاری از مشترکان دیگر شریک است، و از همین رو دو نفر بی‌ارتباط می‌توانند چنان به نظر برسند که از یک جا آمده‌اند. در شبکهٔ مهمان شرکتی مبدأ خروجی همان شبکه است. در هر حالت دروازه یک نشانی، یک درگاه و یک برچسب زمان می‌آموزد، و نشانی از آن یک اپراتور شبکه است نه یک شخص.
دروازه در واقع چه چیزی ثبت می‌کند
آنچه بعداً نوشته می‌شود پرسشی جدا از آن چیزی است که از نظر فنی دیدنی است. دروازه می‌تواند اتصال، هویت احراز را و نشانی تونل تخصیص‌یافته را ثبت کند، یا تقریباً هیچ چیز جز وضعیت نشست را ثبت نکند. نگهداری، برون‌سپاری به SIEM و همبستگی با یک حساب تصمیم‌های استقرارند، و هیچ‌یک از آن‌ها از این واقعیت که مبدأ قابل مشاهده بود نتیجه نمی‌شود.
دیدنی‌بودن و نگهداری را دو محور در نظر بگیرید. یک سرویس می‌تواند همه چیز را ببیند و هیچ چیز نگه ندارد، یا کم ببیند و همه را بفرستد.
نتیجهٔ عملی این است که نمی‌توانید دربارهٔ سوابق کارفرمای خود از روی کلاینتی که نصب کرده‌اید استدلال کنید. بپرسید سرویس برای گردآوری چه چیزی و تا چه مدت پیکربندی شده است، و انتظار داشته باشید پاسخ یک سند سیاست باشد نه یک تضمین فنی. جدا کردن دروازهٔ VPN از هر چیز دیگری روی یک دستگاه مدیریت‌شده هم ارزشمند است، زیرا نرم‌افزار نقطهٔ پایانی توانایی‌ها و سوابق خودش را دارد. یک VPN شخصی یک مسیر را تغییر می‌دهد؛ چیزی را که نرم‌افزار در حال اجرا روی دستگاه می‌تواند مشاهده کند تغییر نمی‌دهد.
پایگاه دادهٔ IP چه می‌تواند بگوید و چه نمی‌تواند
یک پایگاه دادهٔ موقعیت جغرافیایی IP آن نشانی را می‌گیرد و فیلدهایی برمی‌گرداند: کشور، منطقه، شهر، کد پستی، عرض و طول جغرافیایی، به‌علاوه یک شعاع دقت جاهایی که فروشنده ارائه می‌دهد. آن فیلدها برآوردهایی برگرفته از داده‌های ثبت، توپولوژی شبکه و تأخیر اندازه‌گیری‌شده‌اند و در هر سطح به شکل متفاوتی افت می‌کنند. پاسخ دربارهٔ کشور می‌تواند محکم باشد در حالی که پاسخ دربارهٔ شهر حدس است.
راهنمای دقت خود MaxMind دربارهٔ تمایزی که اینجا اهمیت دارد صریح است: مکان‌یابی یک سرور VPN مکان‌یابی کاربرانش نیست، و داده‌ها نمی‌توانند یک خانوار، یک فرد یا یک نشانی خیابان را شناسایی کنند. شعاع دقت و فیلدهای اطمینان را هر جا محصول آن‌ها را نشان می‌دهد بخوانید، و دادهٔ نبود را نبود در نظر بگیرید نه مقدار پیش‌فرض. سنجاق روی نقشه یک انتخاب نمایش است نه یک اندازه‌گیری. سوابق ثبت و DNS معکوس نوع دیگری از شواهدند: whois 203.0.113.5 می‌گوید کدام اپراتور تخصیص را در اختیار دارد و dig +short -x 203.0.113.5 می‌گوید اپراتور آن را چه نامیده است، و هیچ‌یک گزاره‌ای دربارهٔ جایی که یک شخص ایستاده بود نیست.
سوابقی که قابل مبادله نیستند
این از دو سو می‌برد، و به همین دلیل مبنای بدی برای یک تصمیم قطعی است. برآوردی که با منطقهٔ تأییدشده می‌خواند حضور را اثبات نمی‌کند. ناهم‌خوانی هم به‌خودی‌خود فریب را اثبات نمی‌کند.
بررسی کار از راه دور که بر یک جست‌وجو تکیه دارد به پرسشی متفاوت از پرسش مطرح‌شده پاسخ می‌دهد. آنچه لازم دارد زمینه است: توافق کدام مکان‌ها را مجاز می‌کند، شخص چه گزارش کرده است، و آیا شواهد دیگر هم‌خوان‌اند. این یک فرایند مدیریتی با ورودی فنی است نه یک رأی فنی.
سوابق دیگری که یک سازمان ممکن است داشته باشد با نشانی مبدأ قابل مبادله نیستند. تنظیم منطقهٔ زمانی یک ترجیح دستگاه است که هر کسی می‌تواند تغییرش دهد؛ رویداد حساب ثبت می‌کند که نشستی رخ داده، نه کجا؛ خواندن موقعیت دستگاه از نرم‌افزار نقطهٔ پایانی حسگر دیگری با مجوزهای دیگر و حالت‌های خطای دیگر است. فرض اینکه هر کارفرمایی همهٔ آن‌ها را گرد می‌آورد به همان اندازهٔ فرض اینکه هیچ‌کدام گردآوری نمی‌شود غلط است. انضباط سودمند نام‌بردن سابقه و مالک آن و حالت خطای آن پیش از رفتار با آن به‌عنوان شواهد هر چیزی است.
چه چیزی برای یک ترتیب کاری نتیجه می‌شود
برای ترتیبات خودتان، پرسشی که باید بپرسید این است که سازمان چه چیزی گرد می‌آورد و کدام مکان‌های کار را مجاز می‌داند. این دو پاسخ از دو بخش متفاوت کسب‌وکار است.
نمایش IP مبدأ نمی‌تواند مجوز کار از یک مکان را حل کند، و تغییر یک مسیر جایگزین توافق بر ترتیب نیست. اگر سیاست روشن نیست، گام سازنده پرسیدن است نه بهینه‌سازی مسیر شبکه. راه‌حل‌های فنی معمولاً همان سابقه‌ای را تولید می‌کنند که شبیه پنهان‌کاری است.
گزارهٔ فنی قابل دفاع باریک است و ارزش دارد باریک بماند: دروازه خاستگاه شبکهٔ اتصال ورودی را مشاهده می‌کند، یک پایگاه دادهٔ موقعیت جغرافیایی می‌تواند برای آن خاستگاه مکانی برآورد کند، و هر ادعایی دربارهٔ موقعیت جسمانی یک شخص شواهدی فراتر از هر دو می‌خواهد. راهنمای دقت MaxMind مرجع آن چیزی است که این برآوردها پشتیبانی می‌کنند. هر چیز پس از آن پرسشی سیاسی با لباس فنی است.