O que um gateway VPN de trabalho pode ver sobre onde você está

O endereço que um site vê depois que você se conecta a uma VPN de trabalho não é o endereço que o gateway do trabalho viu quando você se conectou. O gateway aceita um túnel de entrada de qualquer rede em que esteja seu notebook, e essa origem é visível para ele antes que exista tráfego tunelado. O fato de um navegador relatar depois uma saída corporativa não apaga a observação anterior, porque são observações de coisas diferentes. Entender qual é qual resolve a maior parte do debate sobre o que um empregador pode e não pode inferir.

Dois endereços, duas observações diferentes

O mecanismo é um socket, não uma política. Quando o cliente abre o túnel, ele envia pacotes de um endereço local para o endereço público do gateway, e o kernel do gateway registra a origem desse fluxo. Essa origem é o endpoint de rede que o provedor atribuiu à conexão naquele momento.

Atrás de um roteador doméstico, a origem é o endereço público do roteador depois do NAT. Numa rede móvel, pode ser um endereço NAT de nível de operadora compartilhado ao mesmo tempo com muitos outros assinantes, e é por isso que duas pessoas sem relação podem parecer vir do mesmo lugar. Numa rede de convidados corporativa, é a saída dessa rede. Em todos os casos o gateway descobre um endereço, uma porta e um carimbo de tempo, e o endereço pertence a uma operadora de rede e não a uma pessoa.

O que o gateway realmente registra

O que é anotado depois é uma questão separada do que é tecnicamente visível. O gateway pode registrar a conexão, a identidade de autenticação e o endereço de túnel atribuído, ou pode não registrar quase nada além do estado da sessão. Retenção, exportação para um SIEM e correlação com uma conta são decisões de implantação, e nenhuma delas decorre do fato de a origem ser observável.

Trate visibilidade e retenção como dois eixos. Um serviço pode ver tudo e não guardar nada, ou ver pouco e repassar tudo.

A consequência prática é que você não pode raciocinar sobre os registros do seu empregador a partir do cliente que instalou. Pergunte o que o serviço está configurado para coletar e por quanto tempo, e espere que a resposta seja um documento de política e não uma garantia técnica. Também vale separar o gateway VPN de todo o resto num dispositivo gerenciado, porque o software de endpoint tem capacidades próprias e registros próprios. Uma VPN pessoal muda uma rota; não muda o que o software que já roda na máquina pode observar.

O que um banco de IP pode e não pode dizer

Um banco de dados de geolocalização IP pega esse endereço e devolve campos: país, região, cidade, código postal, latitude e longitude, mais um raio de precisão quando o fornecedor oferece um. Esses campos são estimativas derivadas de dados de registro, topologia de rede e latência medida, e se degradam de forma diferente em cada nível. Uma resposta de país pode ser sólida enquanto a de cidade é um palpite.

As próprias orientações de precisão da MaxMind são explícitas sobre a distinção que importa aqui: localizar um servidor VPN não é localizar seus usuários, e os dados não podem identificar uma residência, uma pessoa ou um endereço de rua. Leia o raio de precisão e os campos de confiança onde o produto os expõe, e trate dados ausentes como ausentes e não como valor padrão. Um alfinete no mapa é uma escolha de renderização, não uma medição. Registros de atribuição e DNS reverso são mais um tipo de evidência: whois 203.0.113.5 diz qual operadora detém a alocação e dig +short -x 203.0.113.5 diz como a operadora a nomeou, e nenhum dos dois afirma onde uma pessoa estava.

Registros que não são intercambiáveis

Isso corta nos dois sentidos, e por isso é uma base ruim para uma decisão categórica. Uma estimativa que coincide com a região aprovada não prova presença. Uma divergência não prova, por si só, engano.

Uma revisão de trabalho remoto que depende de uma única consulta responde a uma pergunta diferente da que se faz. O que ela precisa é de contexto: quais locais o acordo permite, o que a pessoa declarou e se outras evidências concordam. É um processo de gestão com insumos técnicos, não um veredicto técnico.

Os outros registros que uma organização pode ter não são intercambiáveis com um endereço de origem. A configuração de fuso horário é uma preferência do dispositivo que qualquer um pode mudar; um evento de conta registra que houve uma sessão, não onde; uma leitura de localização do dispositivo feita por software de endpoint é outro sensor, com outras permissões e outros modos de erro. Supor que todo empregador coleta todos eles é tão errado quanto supor que nenhum é coletado. A disciplina útil é nomear o registro, seu proprietário e seu modo de erro antes de tratá-lo como prova de qualquer coisa.

O que decorre para um acordo de trabalho

Para os seus próprios acordos, a pergunta a fazer é o que a organização coleta e quais locais de trabalho permite. São duas respostas de duas partes diferentes do negócio.

Uma exibição do IP de origem não pode resolver a permissão para trabalhar de um lugar, e mudar uma rota não substitui o acordo sobre o arranjo. Se a política não está clara, o passo produtivo é perguntar em vez de otimizar o caminho de rede. Contornos técnicos tendem a produzir exatamente o registro que parece ocultação.

A afirmação técnica defensável é estreita, e vale mantê-la estreita: o gateway observa a origem de rede da conexão de entrada, um banco de dados de geolocalização pode estimar uma localização para essa origem, e qualquer afirmação sobre a posição física de uma pessoa exige evidências além de ambas. As orientações de precisão da MaxMind são a referência para o que essas estimativas sustentam. Tudo o que vem depois é uma questão de política vestida de técnica.