Жұмыс VPN шлюзі сіздің қайда екеніңіз туралы нені көре алады

Жұмыс VPN-іне қосылғаннан кейін веб-сайт көретін мекенжай — қосылған кезде жұмыс шлюзі көрген мекенжай емес. Шлюз ноутбугіңіз қай желіде болса да, сол жерден келетін туннельді қабылдайды, және бұл бастау кез келген туннельдік трафик пайда болмай тұрып оған көрінеді. Браузердің кейін корпоративтік шығысты хабарлауы бұрынғы бақылауды өшірмейді, өйткені бұл екеуі әр түрлі нәрселердің бақылауы. Қайсысы қайсысы екенін түсіну жұмыс беруші нені қорытындылай алады, нені алмайды деген даудың көбін шешеді.

Екі мекенжай, екі түрлі бақылау

Механизм — саясат емес, сокет. Клиентіңіз туннельді ашқанда жергілікті мекенжайдан шлюздің жария мекенжайына пакеттер жібереді, шлюздің ядросы сол ағынның бастауын жазады. Сол бастау — сол сәтте провайдеріңіз қосылымға тағайындаған желілік соңғы нүкте.

Үй маршрутизаторының артында бастау — NAT-тан кейінгі маршрутизатордың жария мекенжайы. Мобильді желіде бұл бір уақытта көптеген басқа абоненттермен бөлісетін оператор деңгейіндегі NAT мекенжайы болуы мүмкін, сондықтан байланысы жоқ екі адам бір жерден келгендей көрінуі мүмкін. Корпоративтік қонақ желісінде бұл сол желінің шығысы. Әр жағдайда шлюз мекенжайды, портты және уақыт белгісін біледі, ал мекенжай адамға емес, желі операторына тиесілі.

Шлюз шын мәнінде нені жазады

Кейін ненің жазылатыны техникалық тұрғыдан ненің көрінетінінен бөлек сұрақ. Шлюз қосылымды, аутентификация сәйкестігін және тағайындалған туннель мекенжайын жазуы мүмкін, немесе сессия күйінен басқа ештеңе жазбауы мүмкін. Сақтау, SIEM-ге экспорттау және шотпен корреляциялау — орналастыру шешімдері, және олардың ешқайсысы бастаудың бақылануы мүмкін болғанынан туындамайды.

Көріну мен сақтауды екі өс ретінде қарастырыңыз. Қызмет бәрін көріп, ештеңе сақтамауы мүмкін, немесе аз көріп, бәрін әрі қарай жіберуі мүмкін.

Практикалық салдар: сіз орнатқан клиенттен жұмыс берушінің жазбалары туралы ой қорыту мүмкін емес. Қызмет нені және қанша уақыт жинауға конфигурацияланғанын сұраңыз, жауап техникалық кепілдік емес, саясат құжаты болады деп күтіңіз. Басқарылатын құрылғыда VPN шлюзін қалғанның бәрінен бөлек қарау да құнды, өйткені соңғы нүкте бағдарламасының өз мүмкіндіктері мен өз жазбалары бар. Жеке VPN маршрутты өзгертеді; машинада бұрыннан жұмыс істеп тұрған бағдарлама нені бақылай алатынын өзгертпейді.

IP дерекқоры нені айта алады, нені айта алмайды

IP геолокация дерекқоры сол мекенжайды алып, өрістерді қайтарады: ел, өңір, қала, пошта индексі, ендік пен бойлық, сондай-ақ сатушы берген жағдайда дәлдік радиусы. Бұл өрістер тіркеу деректерінен, желі топологиясынан және өлшенген кідірістен алынған бағалар, әр деңгейде әр түрлі нашарлайды. Ел туралы жауап берік болуы мүмкін, ал қала туралы жауап болжам ғана.

MaxMind-тың дәлдік жөніндегі нұсқаулығы осында маңызды айырмашылықты анық көрсетеді: VPN серверін орналастыру оның пайдаланушыларын орналастыру емес, деректер үй шаруашылығын, адамды немесе көше мекенжайын анықтай алмайды. Өнім оларды көрсететін жерде дәлдік радиусы мен сенімділік өрістерін оқыңыз, ал жоқ деректерді әдепкі мән ретінде емес, жоқ деп қабылдаңыз. Картадағы түйреуіш — көрсету таңдауы, өлшеу емес. Тіркеу жазбалары мен кері DNS тағы бір дәлел түрі: whois 203.0.113.5 қай оператордың үлестірімді ұстайтынын айтады, dig +short -x 203.0.113.5 оператор оны қалай атағанын айтады, және екеуі де адамның қайда тұрғаны туралы мәлімдеме емес.

Алмастырылмайтын жазбалар

Бұл екі жаққа да кесіледі, сондықтан қатаң шешім үшін нашар негіз. Бекітілген өңірге сәйкес келетін баға қатысуды дәлелдемейді. Сәйкессіздік өздігінен алдауды дәлелдемейді.

Бір іздеуге сүйенетін қашықтан жұмыс қарауы қойылған сұрақтан өзге сұраққа жауап береді. Оған контекст керек: келісім қандай жерлерге рұқсат береді, адам не хабарлады және басқа дәлелдер сәйкес пе. Бұл техникалық кірісі бар басқару процесі, техникалық үкім емес.

Ұйымда болуы мүмкін басқа жазбалар бастау мекенжайымен алмастырылмайды. Уақыт белдеуінің параметрі — кез келген адам өзгерте алатын құрылғы таңдауы; шот оқиғасы сессияның болғанын жазады, қайда болғанын емес; соңғы нүкте бағдарламасынан алынған құрылғы орны — басқа рұқсаттары және басқа қате режимдері бар басқа сенсор. Әрбір жұмыс беруші осының бәрін жинайды деп болжау, ешнәрсе жиналмайды деп болжау қатар қате. Пайдалы тәртіп — бір нәрсені дәлел ретінде қарастырмас бұрын жазбаны, оның иесін және қате режимін атау.

Жұмыс келісімі үшін не туындайды

Өз келісімдеріңіз үшін сұрақ: ұйым нені жинайды және қандай жұмыс орындарына рұқсат береді. Бұл бизнестің екі түрлі бөлігінен екі жауап.

Бастау IP көрсетілімі белгілі бір жерден жұмыс істеу рұқсатын шеше алмайды, ал маршрутты өзгерту келісімге келудің орнын баспайды. Саясат анық болмаса, өнімді қадам — желі жолын оңтайландыру емес, сұрау. Техникалық айналып өтулер әдетте жасыруға ұқсайтын дәл сол жазбаны жасайды.

Қорғауға болатын техникалық тұжырым тар, оны тар күйінде ұстаған жөн: шлюз кіріс қосылымының желілік шығу тегін бақылайды, геолокация дерекқоры сол тегі үшін орынды бағалай алады, ал адамның физикалық орны туралы кез келген тұжырым екеуінен де тыс дәлелді қажет етеді. MaxMind дәлдік нұсқаулығы — бұл бағалар нені қолдайтынының сілтемесі. Одан кейінгінің бәрі техникалық киімдегі саясат сұрағы.