Што може да види работниот VPN портал за тоа каде се наоѓате

Адресата што ја гледа веб-страницата откако ќе се поврзете со работен VPN не е адресата што работниот портал ја видел при поврзувањето. Порталот прифаќа дојдовен тунел од која било мрежа во која се наоѓа вашиот лаптоп, и тој извор му е видлив пред воопшто да постои тунелен сообраќај. Тоа што прелистувачот подоцна известува за корпоративен излез не го брише претходното набљудување, зашто двете се набљудувања на различни работи. Разбирањето кое е кое го решава поголемиот дел од спорот за тоа што работодавачот може, а што не може да заклучи.

Две адреси, две различни набљудувања

Механизмот е сокет, а не политика. Кога вашиот клиент го отвора тунелот, испраќа пакети од локална адреса до јавната адреса на порталот, а јадрото на порталот го запишува изворот на тој тек. Тој извор е мрежната крајна точка што вашиот давател ја доделил на врската во тој момент.

Зад домашен рутер изворот е јавната адреса на рутерот по NAT. Во мобилна мрежа тоа може да биде NAT адреса на ниво на оператор, споделена истовремено со многу други претплатници, затоа двајца неповрзани луѓе можат да изгледаат како да доаѓаат од исто место. Во корпоративна гостинска мрежа тоа е излезот на таа мрежа. Во секој случај порталот дознава адреса, порта и временска ознака, а адресата му припаѓа на мрежен оператор, а не на личност.

Што всушност запишува порталот

Што се запишува потоа е одделно прашање од тоа што е технички видливо. Порталот може да ја запише врската, идентитетот за автентикација и доделената тунелна адреса, или да не запише речиси ништо освен состојбата на сесијата. Зачувување, извоз во SIEM и корелација со сметка се одлуки за распоредување и ниту една од нив не произлегува од фактот што изворот бил набљудуван.

Третирајте ја видливоста и зачувувањето како две оски. Услугата може да гледа сѐ и да не чува ништо, или да гледа малку и да проследува сѐ.

Практичната последица е дека не можете да расудувате за записите на вашиот работодавач врз основа на клиентот што сте го инсталирале. Прашајте што е конфигурирана да собира услугата и колку долго, и очекувајте одговорот да биде документ за политика, а не техничка гаранција. Вреди и да го одделите VPN порталот од сѐ друго на управуван уред, зашто софтверот на крајната точка има свои можности и свои записи. Личен VPN менува маршрута; тој не менува што може да набљудува софтвер што веќе работи на машината.

Што може и што не може да каже IP база

База на податоци за геолокација на IP ја зема таа адреса и враќа полиња: земја, регион, град, поштенски код, географска ширина и должина, плус радиус на точност каде давателот го дава. Тие полиња се проценки изведени од податоци за регистрација, мрежна топологија и измерено доцнење, и се влошуваат различно на секое ниво. Одговорот за земја може да биде цврст, додека одговорот за град е претпоставка.

Сопствените упатства на MaxMind за точност се експлицитни за разликата што е важна овде: да се лоцира VPN сервер не е да се лоцираат неговите корисници, и податоците не можат да идентификуваат домаќинство, личност или адреса на улица. Читајте го радиусот на точност и полињата за доверба каде производот ги изложува, и третирајте ги податоците што недостасуваат како отсутни, а не како стандардна вредност. Игла на карта е избор на приказ, не мерење. Записите од регистрација и обратниот DNS се уште еден вид доказ: whois 203.0.113.5 ви кажува кој оператор го држи доделувањето, а dig +short -x 203.0.113.5 ви кажува како операторот го нарекол, и ниту едното не е тврдење за тоа каде стоел човек.

Записи што не се заменливи

Ова сече на двете страни, затоа е слаба основа за категорична одлука. Проценка што се совпаѓа со одобрениот регион не докажува присутност. Несовпаѓањето само по себе не докажува измама.

Преглед на работа на далечина што се потпира на едно пребарување одговара на друго прашање од поставеното. Нему му треба контекст: кои места ги дозволува договорот, што изјавил човекот и дали другите докази се согласуваат. Тоа е управен процес со технички влезови, а не техничка пресуда.

Другите записи што една организација може да ги има не се заменливи со изворна адреса. Поставката на временска зона е преференца на уредот што секој може да ја смени; настан на сметка запишува дека имало сесија, а не каде; читањето на локацијата на уредот од софтверот на крајната точка е друг сензор со други дозволи и други режими на грешка. Да претпоставиме дека секој работодавач ги собира сите е исто толку погрешно како да претпоставиме дека ниту еден не се собира. Корисната дисциплина е да се именува записот, неговиот сопственик и неговиот режим на грешка пред да се третира како доказ за што било.

Што произлегува за работен договор

За вашите сопствени договори прашањето е што собира организацијата и кои работни места ги дозволува. Тоа се два одговора од два различни дела на бизнисот.

Приказот на изворната IP адреса не може да реши дозвола за работа од место, а менувањето маршрута не е замена за договарање на договорот. Ако политиката е нејасна, продуктивниот чекор е да прашате, а не да ја оптимизирате мрежната патека. Техничките заобиколувања обично го создаваат токму записот што изгледа како прикривање.

Одбранливото техничко тврдење е тесно и вреди да остане тесно: порталот го набљудува мрежното потекло на дојдовната врска, база за геолокација може да процени локација за тоа потекло, и секое тврдење за физичката положба на човек бара докази надвор од двете. Упатствата на MaxMind за точност се референца за тоа што го поддржуваат тие проценки. Сѐ потоа е прашање на политика во технички костим.