Wat in wurk-VPN-gateway oer dyn lokaasje sjen kin

It adres dat in webside sjocht neidatst ferbûn bist mei in wurk-VPN is net itselde adres dat de wurk-gateway seach doe’tst ferbûn wiest. De gateway akseptearret in ynkommende tunnel fan hokker netwurk dyn laptop ek is, en dy boarne is foar him sichtber foardat der hokker tunnelferkear dan ek bestiet. Dat in browser dêrnei in bedriuwsútgong rapportearret, wist de eardere waarnimming net út, want it binne waarnimmings fan ferskate dingen. Begripe hokker’t hokker is, beslist it measte fan ’e diskusje oer wat in wurkjouwer wol en net ôfliede kin.

Twa adressen, twa ferskate waarnimmings

It meganisme is in socket, gjin belied. As dyn klant de tunnel iepenet, stjoert er pakketten fan in lokaal adres nei it iepenbiere adres fan ’e gateway, en de kernel fan ’e gateway registrearret de boarne fan dy stream. Dy boarne is it netwurk-einpunt dat dyn provider op dat stuit oan ’e ferbining tawiisde.

Efter in thúsrouter is de boarne it iepenbiere adres fan ’e router nei NAT. Op in mobyl netwurk kin it in NAT-adres op operatornivo wêze dy’t tagelyk mei in soad oare abonnees dield wurdt, en dêrom kinne twa ûnferbûne minsken lykje as komme se fan itselde plak. Op in bedriuwsgastenetwurk is it de útgong fan dat netwurk. Yn alle gefallen leart de gateway in adres, in poarte en in tiidstimpel, en it adres heart ta in netwurkoperator yn stee fan ta in persoan.

Wat de gateway wier registrearret

Wat dernei opskreaun wurdt, is in aparte fraach fan wat technysk sichtber is. De gateway kin de ferbining, de autentikaasje-identiteit en it tawiisde tunneladres logge, of hy kin hast neat logge bûten sesjestatus. Bewarjen, eksport nei in SIEM en korrelaasje mei in akkount binne besluten oer úteinbringe, en net ien fan dy folget út it feit dat de boarne waarnimber wie.

Behannelje sichtberens en bewarjen as twa assen. In tsjinst kin alles sjen en neat bewarje, of in bytsje sjen en it allegear trochstjoere.

It praktyske gefolch is datst net oer de registraasjes fan dyn wurkjouwer riddenearje kinst op grûn fan ’e klant dy’tst ynstallearre hast. Freegje wat de tsjinst ynsteld is om te sammeljen en hoelang, en ferwachtsje dat it antwurd in beliedsdokumint is yn stee fan in technyske garânsje. It is ek de muoite wurdich de VPN-gateway te skieden fan al it oare op in beheard apparaat, want einpunt-software hat syn eigen mooglikheden en syn eigen registraasjes. In persoanlike VPN feroaret in rûte; it feroaret net wat software dy’t al op ’e masine draait, waarnimme kin.

Wat in IP-database wol en net sizze kin

In IP-geolokaasjedatabase nimt dat adres en jout fjilden werom: lân, regio, stêd, postkoade, breedte- en lingtegraad, plus in krektensradius wêr’t de leveransier ien jout. Dy fjilden binne skattings ôflaat fan registraasjegegevens, netwurktopology en mjitten fertraging, en se degradearje op elk nivo oars. In lân-antwurd kin solide wêze wylst it stêd-antwurd in gissing is.

De krektensrjochtline fan MaxMind sels is dúdlik oer it ûnderskied dat hjir ta docht: in VPN-tsjinner lokalisearje is net syn brûkers lokalisearje, en de gegevens kinne in húshâlding, in yndividu of in strjitadres net identifisearje. Lês de krektensradius en de betrouwensfjilden wêr’t it produkt dy sjen lit, en behannelje ûntbrekkende gegevens as ûntbrekkend yn stee fan as in standertwearde. In spjelde op ’e kaart is in werjaofkar, gjin mjitting. Registraasjeregistraasjes en omkearde DNS binne noch in oare soarte bewiis: whois 203.0.113.5 fertelt dy hokker operator de tawizing hat en dig +short -x 203.0.113.5 fertelt dy hoe’t de operator it neamd hat, en gjin fan beide is in bewearing oer wêr’t in persoan stie.

Registraasjes dy’t net útwikselber binne

Dit snijt twa kanten út, en dêrom is it in minne basis foar in kategorysk beslút. In skatting dy’t by de goedkarde regio past, bewiist gjin oanwêzigens. In ôfwiking bewiist op himsels gjin mislieding.

In beoardieling fan thúswurk dy’t op ien opsykje leunt, beantwurdet in oare fraach as dy’t steld wurdt. Wat it nedich hat, is kontekst: hokker lokaasjes de ôfspraak tastiet, wat de persoan rapportearre hat, en oft oar bewiis it dêrmei iens is. Dat is in behearproses mei technyske ynput, gjin technyske útspraak.

De oare registraasjes dy’t in organisaasje hawwe kin, binne net útwikselber mei in boarne-adres. In tiidsoane-ynstelling is in apparaatfoarkar dy’t elkenien feroarje kin; in akkountbarren registrearret dat der in sesje wie, net wêr; in lokaasjelêzing fan in apparaat út einpunt-software is in oare sensor mei oare tastimmingen en oare flatermodi. Oannimme dat elke wurkjouwer se allegear sammelt is like ferkeard as oannimme dat gjinien sammele wurdt. De nuttige dissipline is it registraasje, syn eigner en syn flatermodus te neamen foardatst it as bewiis foar wat dan ek behannelje.

Wat dêrút folget foar in wurkôfspraak

Foar dyn eigen ôfspraken is de fraach wat de organisaasje sammelt en hokker wurklokaasjes se tastiet. Dat binne twa antwurden út twa ferskate dielen fan it bedriuw.

In werjefte fan boarne-IP kin gjin tastimming om fan in plak te wurkjen besljochtsje, en in rûte feroarje is gjin ferfanging foar it ôfsprekken fan ’e regeling. As it belied ûndúdlik is, is de produktyfste stap freegje yn stee fan it netwurkpaad te optimalisearjen. Technyske omgongen liede der ta dat krekt dy registraasje ûntstiet dy’t op ferbergjen liket.

De ferdigenbere technyske bewearing is smel, en it is de muoite wurdich him smel te hâlden: de gateway waarnimt de netwurkoarsprong fan ’e ynkommende ferbining, in geolokaasjedatabase kin in lokaasje foar dy oarsprong skatte, en elke bewearing oer de fysike posysje fan in persoan hat bewiis nedich bûten beide. De krektensrjochtline fan MaxMind is de referinsje foar wat dy skattings stypje. Alles foarby dat punt is in beliedsfraach yn in technysk kostúm.