Ce qu’une passerelle VPN professionnelle peut voir de votre position

L’adresse qu’un site web voit après votre connexion à un VPN professionnel n’est pas celle que la passerelle professionnelle a vue au moment de la connexion. La passerelle accepte un tunnel entrant depuis n’importe quel réseau où se trouve votre ordinateur portable, et cette source lui est visible avant même qu’il n’existe du trafic tunnelisé. Qu’un navigateur signale ensuite une sortie d’entreprise n’efface pas l’observation antérieure, car les deux portent sur des choses différentes. Comprendre laquelle est laquelle tranche l’essentiel du débat sur ce qu’un employeur peut ou ne peut pas déduire.

Deux adresses, deux observations différentes

Le mécanisme est une socket, pas une politique. Quand votre client ouvre le tunnel, il envoie des paquets d’une adresse locale vers l’adresse publique de la passerelle, et le noyau de la passerelle enregistre la source de ce flux. Cette source est le point de terminaison réseau que votre fournisseur a attribué à la connexion à cet instant.

Derrière un routeur domestique, la source est l’adresse publique du routeur après le NAT. Sur un réseau mobile, il peut s’agir d’une adresse NAT d’opérateur partagée au même moment avec de nombreux autres abonnés, ce qui explique que deux personnes sans lien puissent sembler venir du même endroit. Sur un réseau invité d’entreprise, c’est la sortie de ce réseau. Dans tous les cas, la passerelle apprend une adresse, un port et un horodatage, et l’adresse appartient à un opérateur de réseau et non à une personne.

Ce que la passerelle enregistre réellement

Ce qui est écrit ensuite est une question distincte de ce qui est techniquement visible. La passerelle peut journaliser la connexion, l’identité d’authentification et l’adresse de tunnel attribuée, ou presque rien au-delà de l’état de session. La conservation, l’export vers un SIEM et la corrélation avec un compte sont des décisions de déploiement, et aucune d’elles ne découle du fait que la source était observable.

Traitez la visibilité et la conservation comme deux axes. Un service peut tout voir et ne rien garder, ou voir peu et tout transmettre.

La conséquence pratique est que vous ne pouvez pas raisonner sur les registres de votre employeur à partir du client que vous avez installé. Demandez ce que le service est configuré pour collecter et pendant combien de temps, et attendez-vous à ce que la réponse soit un document de politique plutôt qu’une garantie technique. Il vaut aussi la peine de séparer la passerelle VPN de tout le reste sur un appareil géré, car le logiciel de point de terminaison a ses propres capacités et ses propres registres. Un VPN personnel change une route ; il ne change pas ce que peut observer un logiciel déjà en cours d’exécution sur la machine.

Ce qu’une base IP peut dire et ne peut pas dire

Une base de géolocalisation IP prend cette adresse et renvoie des champs : pays, région, ville, code postal, latitude et longitude, plus un rayon de précision lorsque le fournisseur en propose un. Ces champs sont des estimations dérivées de données d’enregistrement, de la topologie du réseau et de mesures de latence, et ils se dégradent différemment à chaque niveau. Une réponse sur le pays peut être solide alors que celle sur la ville est une conjecture.

Les propres recommandations de précision de MaxMind sont explicites sur la distinction qui compte ici : localiser un serveur VPN n’est pas localiser ses utilisateurs, et les données ne peuvent identifier ni un foyer, ni une personne, ni une adresse de rue. Lisez le rayon de précision et les champs de confiance là où le produit les expose, et traitez les données manquantes comme manquantes plutôt que comme une valeur par défaut. Une épingle sur une carte est un choix de rendu, pas une mesure. Les registres d’enregistrement et le DNS inverse sont encore un autre type de preuve : whois 203.0.113.5 vous indique quel opérateur détient l’allocation et dig +short -x 203.0.113.5 vous indique comment l’opérateur l’a nommée, et ni l’un ni l’autre n’affirme où se trouvait une personne.

Des registres non interchangeables

Cela coupe dans les deux sens, et c’est pourquoi c’est une base médiocre pour une décision catégorique. Une estimation qui correspond à la région approuvée ne prouve pas la présence. Une divergence ne prouve pas, à elle seule, une tromperie.

Un examen du télétravail qui repose sur une seule requête répond à une autre question que celle posée. Ce dont il a besoin, c’est de contexte : quels lieux l’arrangement autorise, ce que la personne a déclaré et si d’autres preuves concordent. C’est un processus de gestion avec des données techniques, pas un verdict technique.

Les autres registres qu’une organisation peut détenir ne sont pas interchangeables avec une adresse source. Un réglage de fuseau horaire est une préférence d’appareil que chacun peut modifier ; un événement de compte atteste qu’une session a eu lieu, pas où ; une lecture de localisation d’appareil issue d’un logiciel de point de terminaison est un autre capteur, avec d’autres permissions et d’autres modes d’erreur. Supposer que chaque employeur les collecte tous est aussi faux que supposer qu’aucun n’est collecté. La discipline utile consiste à nommer le registre, son propriétaire et son mode d’erreur avant d’y voir la preuve de quoi que ce soit.

Ce qui en découle pour un arrangement de travail

Pour vos propres arrangements, la question à poser est ce que l’organisation collecte et quels lieux de travail elle autorise. Ce sont deux réponses venant de deux parties différentes de l’entreprise.

Un affichage d’IP source ne peut pas trancher une autorisation de travailler depuis un lieu, et changer une route ne remplace pas l’accord sur l’arrangement. Si la politique est floue, la démarche productive est de demander plutôt que d’optimiser le chemin réseau. Les contournements techniques ont tendance à produire exactement le registre qui ressemble à une dissimulation.

L’affirmation technique défendable est étroite, et il vaut la peine de la garder étroite : la passerelle observe l’origine réseau de la connexion entrante, une base de géolocalisation peut estimer une position pour cette origine, et toute affirmation sur la position physique d’une personne exige des preuves au-delà des deux. Les recommandations de précision de MaxMind sont la référence pour ce que ces estimations étayent. Tout ce qui suit relève d’une question de politique habillée en technique.