Wat en Aarbechts-VPN-Gateway doriwwer gesäit, wou s du bass

D’Adress, déi eng Websäit gesäit nodeems s du sech mat engem Aarbechts-VPN verbonne hues, ass net déi Adress, déi d’Aarbechts-Gateway gesinn huet, wéi s du sech verbonnen hues. D’Gateway akzeptéiert en agehenden Tunnel aus wat fir engem Netz dengem Laptop och ass, an déi Quell ass fir hatt sichtbar, ier iwwerhaapt getunnelte Verkéier existéiert. Datt e Browser duerno en Entreprise-Ausgang mëttelt, läscht déi fréier Observatioun net aus, well et si Observatioune vun zwee verschiddene Saachen. D’Ënnerscheedung tëschent deenen zwou léist de gréissten Deel vun der Diskussioun doriwwer, wat en Patron kann an net kann ofleeden.

Zwou Adressen, zwou verschidden Observatiounen

De Mechanismus ass e Socket, keng Politik. Wann däi Client den Tunnel opmécht, schéckt en Pakete vun enger lokaler Adress op déi ëffentlech Adress vun der Gateway, an de Kernel vun der Gateway registréiert d’Quell vun deem Floss. Déi Quell ass de Netzwierk-Endpunkt, deen däi Provider der Verbindung an deem Moment zougewisen huet.

Hannert engem Heemrouter ass d’Quell d’ëffentlech Adress vum Router no NAT. An engem Mobilnetz kann et eng NAT-Adress op Betreiberniveau sinn, déi gläichzäiteg mat villen aneren Abonnente gedeelt gëtt, an dowéinst kënnen zwee onverbonnen Leit ausgesinn, wéi wa se vun der selwechter Plaz kommen. An engem Firmegaaschtnetz ass et den Ausgang vun deem Netz. A jiddwer Fall léiert d’Gateway eng Adress, e Port an en Zäitstempel, an d’Adress gehéiert engem Netzwierkbetreiber an net enger Persoun.

Wat d’Gateway tatsächlech registréiert

Wat duerno opgeschriwwe gëtt, ass eng aner Fro wéi dat, wat technesch sichtbar ass. D’Gateway kann d’Verbindung, d’Authentifikatiounsidentitéit an déi zougewise Tunneladress loggen, oder bal näischt ausser dem Sessiounsstatus. Opbewahrung, Export an eng SIEM a Korrelatioun mat engem Kont si Bereitstellungsentscheedungen, an keng dovun follegt aus der Tatsaach, datt d’Quell observéierbar war.

Behandel Sichtbarkeet an Opbewahrung als zwou Achsen. En Déngscht kann alles gesinn an näischt behalen, oder wéineg gesinn an alles virunschécken.

Déi praktesch Konsequenz ass, datt s du net iwwer d’Registrature vun dengem Patron ka raisonéieren op Basis vum Client, deen s du installéiert hues. Frot, wat den Déngscht konfiguréiert ass ze sammelen a wéi laang, a reech mat engem Politikdokument als Äntwert, net mat enger technescher Garantie. Et ass och derwäert, d’VPN-Gateway vun allem aneren op engem verwalteten Apparat ze trennen, well Endpoint-Software huet seng eege Méiglechkeeten a seng eege Registraturen. Eng perséinlech VPN ännert eng Route; se ännert net, wat Software, déi scho leeft, observéiere kann.

Wat eng IP-Datebank ka soen an net

Eng IP-Geolokatiounsdatebank hëlt déi Adress a gëtt Felder zréck: Land, Regioun, Stad, Postleitzuel, Breede- a Längegrad, plus en Genauegkeetsradius, wou de Verkeefer een ugëtt. Déi Felder si Schätzungen, déi aus Registrierungsdaten, Netzwierktopologie a gemoossener Latenz ofgeleet ginn, an se degradéieren op jiddwer Niveau anescht. Eng Äntwert zum Land kann solide sinn, wärend d’Äntwert zu der Stad e Vermutung ass.

D’Genauegkeetsrichtlinn vum MaxMind selwer ass kloer iwwer den Ënnerscheed, deen hei zielt: e VPN-Server ze lokaliséieren ass net seng Benotzer ze lokaliséieren, an d’Daten kënnen weder en Haushalt nach eng Persoun nach eng Stroossadress identifizéieren. Liest de Genauegkeetsradius an d’Vertrauensfelder, wou de Produit se weist, a behandelt fehlend Daten als fehlend an net als Standardwäert. E Knippchen op enger Kaart ass eng Duerstellungsentscheedung, keng Moossung. Registrierungsregistraturen an ëmgekehrten DNS sinn nach eng aner Zort Beweis: whois 203.0.113.5 seet dir, wéi ee Betreiber d’Zoudeelung huet, an dig +short -x 203.0.113.5 seet dir, wéi den Betreiber se genannt huet, an et ass keng vun deenen zwou eng Ausso doriwwer, wou eng Persoun stoung.

Registraturen, déi net austauschbar sinn

Dat schneit a béid Richtungen, an dowéinst ass et eng schlecht Basis fir eng kategorisch Entscheedung. Eng Schätzung, déi mat der geneemter Regioun iwwereneestëmmt, beweise keng Präsenz. Eng Ofwäichung beweise fir sech selwer keen Täuschung.

Eng Iwwerpréiwung vun Heemaarbecht, déi sech op eng eenzeg Ufro stäipt, beäntwert eng aner Fro wéi déi, déi gestallt gëtt. Wat se brauch, ass Kontext: wéi eng Plazen d’Ofsprooch erlaabt, wat d’Persoun gemellt huet, an ob aner Beweiser d’accord sinn. Dat ass e Managementsprozess mat techneschen Inputen, keen technescht Verdikt.

Déi aner Registraturen, déi eng Organisatioun ka hunn, sinn net mat enger Quelladress austauschbar. Eng Zäitzon-Astellung ass eng Apparatsvirléift, déi jiddwereen ännere kann; en Kont-Evenement registréiert, datt eng Sessioun war, net wou; eng Apparatsstanduert-Miessung aus Endpoint-Software ass en aneren Sensor mat aneren Erlaabnisser an aneren Fehlermodi. Unzehuelen, datt jiddwer Patron se all sammelt, ass esou falsch wéi unzehuelen, datt keng gesammelt gëtt. Déi nëtzlech Disziplin ass, d’Registratur, hire Proprietär an hire Fehlermodus ze nennen, ier s du se als Beweis fir eppes behandels.

Wat doraus fir eng Aarbechtsarrangement follegt

Fir deng eege Ofsproochen ass d’Fro, wat d’Organisatioun sammelt a wéi eng Aarbechtsplaze se erlaabt. Dat si zwou Äntwerten aus zwéi verschiddenen Deeler vum Geschäft.

Eng Affichage vun der Quell-IP kann d’Erlaabnis, vun enger Plaz ze schaffen, net entscheeden, an eng Route z’änneren ass keen Ersatz fir d’Ofsprooch ze treffen. Wann d’Politik onkloer ass, ass de produktiven Schrëtt ze froen, amplaz de Netzwierkwee ze optimiséieren. Technesch Ëmweeër produzéieren normalerweis genee déi Registratur, déi no Verstoppen ausgesäit.

Déi verteidbar technesch Ausso ass schmuel, an et ass derwäert, se schmuel ze halen: d’Gateway observéiert de Netzwierkursprong vun der agehender Verbindung, eng Geolokatiounsdatebank kann eng Plaz fir deen Ursprong schätzen, an all Behauptung iwwer d’physesch Positioun vun enger Persoun brauch Beweiser iwwer béides eraus. D’Genauegkeetsrichtlinn vum MaxMind ass d’Referenz fir dat, wat déi Schätzungen ënnerstëtzen. Alles duerno ass eng Politikfro an engem technesche Kostüm.