Que pode ver unha pasarela VPN de traballo sobre onde estás

O enderezo que ve un sitio web despois de que te conectes a unha VPN de traballo non é o enderezo que viu a pasarela de traballo cando te conectaches. A pasarela acepta un túnel de entrada desde calquera rede na que estea o teu portátil, e esa orixe é visible para ela antes de que exista tráfico tunelizado. Que un navegador informe despois dunha saída corporativa non borra a observación anterior, porque son observacións de cousas distintas. Entender cal é cal resolve a maior parte do debate sobre o que un empregador pode e non pode inferir.

Dous enderezos, dúas observacións distintas

O mecanismo é un socket, non unha política. Cando o teu cliente abre o túnel, envía paquetes desde un enderezo local ao enderezo público da pasarela, e o núcleo da pasarela rexistra a orixe dese fluxo. Esa orixe é o extremo de rede que o teu provedor asignou á conexión nese momento.

Detrás dun router doméstico a orixe é o enderezo público do router despois do NAT. Nunha rede móbil pode ser un enderezo NAT de nivel de operador compartido ao mesmo tempo con moitos outros subscritores, e por iso dúas persoas sen relación poden parecer que veñen do mesmo lugar. Nunha rede de convidados corporativa é a saída desa rede. En todos os casos a pasarela coñece un enderezo, un porto e unha marca temporal, e o enderezo pertence a un operador de rede e non a unha persoa.

Que rexistra realmente a pasarela

Que se anota despois é unha cuestión distinta de que é tecnicamente visible. A pasarela pode rexistrar a conexión, a identidade de autenticación e o enderezo de túnel asignado, ou pode non rexistrar case nada máis alá do estado da sesión. A retención, a exportación a un SIEM e a correlación cunha conta son decisións de despregamento, e ningunha delas se deriva do feito de que a orixe fose observable.

Trata a visibilidade e a retención como dous eixes. Un servizo pode velo todo e non gardar nada, ou ver pouco e reenviar todo.

A consecuencia práctica é que non podes razoar sobre os rexistros do teu empregador a partir do cliente que instalaches. Pregunta que está configurado para recoller o servizo e durante canto tempo, e espera que a resposta sexa un documento de política e non unha garantía técnica. Tamén paga a pena separar a pasarela VPN de todo o demais nun dispositivo xestionado, porque o software de extremo ten as súas propias capacidades e os seus propios rexistros. Unha VPN persoal cambia unha ruta; non cambia o que pode observar o software que xa se executa na máquina.

Que pode dicir e que non unha base IP

Unha base de datos de xeolocalización IP toma ese enderezo e devolve campos: país, rexión, cidade, código postal, latitude e lonxitude, máis un raio de precisión cando o provedor o ofrece. Eses campos son estimacións derivadas de datos de rexistro, topoloxía de rede e latencia medida, e degrádanse de forma distinta en cada nivel. Unha resposta de país pode ser sólida mentres a de cidade é unha conxectura.

A propia guía de precisión de MaxMind é explícita sobre a distinción que importa aquí: localizar un servidor VPN non é localizar os seus usuarios, e os datos non poden identificar un fogar, unha persoa nin un enderezo postal. Le o raio de precisión e os campos de confianza onde o produto os expón, e trata os datos ausentes como ausentes e non como un valor por defecto. Un marcador no mapa é unha elección de representación, non unha medición. Os rexistros de asignación e o DNS inverso son outro tipo de proba: whois 203.0.113.5 diche que operador ten a asignación e dig +short -x 203.0.113.5 diche como a nomeou o operador, e ningún dos dous afirma onde estaba unha persoa.

Rexistros que non son intercambiables

Isto corta en ambas as direccións, e por iso é unha mala base para unha decisión categórica. Unha estimación que coincide coa rexión aprobada non demostra presenza. Unha discrepancia non demostra, por si soa, engano.

Unha revisión de traballo remoto que se apoia nunha soa consulta responde a unha pregunta distinta da que se formula. O que necesita é contexto: que localizacións permite o acordo, que declarou a persoa e se outras probas coinciden. É un proceso de xestión con entradas técnicas, non un veredicto técnico.

Os outros rexistros que unha organización pode ter non son intercambiables cun enderezo de orixe. A configuración de zona horaria é unha preferencia do dispositivo que calquera pode cambiar; un evento de conta rexistra que houbo unha sesión, non onde; unha lectura de localización do dispositivo feita por software de extremo é outro sensor, con outros permisos e outros modos de erro. Supoñer que todos os empregadores os recollen todos é tan erróneo como supoñer que non se recolle ningún. A disciplina útil é nomear o rexistro, o seu propietario e o seu modo de erro antes de tratalo como proba de algo.

Que se deriva para un acordo de traballo

Para os teus propios acordos, a pregunta que hai que facer é que recolle a organización e que lugares de traballo permite. Son dúas respostas de dúas partes distintas do negocio.

Unha visualización da IP de orixe non pode resolver o permiso para traballar desde un lugar, e cambiar unha ruta non substitúe o acordo. Se a política non está clara, o paso produtivo é preguntar en lugar de optimizar a ruta de rede. As solucións técnicas adoitan producir exactamente o rexistro que parece unha ocultación.

A afirmación técnica defendible é estreita, e convén mantela estreita: a pasarela observa a orixe de rede da conexión entrante, unha base de datos de xeolocalización pode estimar unha localización para esa orixe, e calquera afirmación sobre a posición física dunha persoa necesita probas máis alá de ambas. A guía de precisión de MaxMind é a referencia do que esas estimacións admiten. Todo o que vén despois é unha cuestión de política disfrazada de técnica.