Ce poate vedea o poartă VPN de serviciu despre locul unde ești

Adresa pe care o vede un site după ce te conectezi la un VPN de serviciu nu este adresa pe care a văzut-o poarta de serviciu când te-ai conectat. Poarta acceptă un tunel de intrare din orice rețea s-ar afla laptopul tău, iar sursa respectivă îi este vizibilă înainte să existe trafic tunelat. Faptul că un browser raportează apoi o ieșire corporativă nu șterge observația anterioară, pentru că sunt observații despre lucruri diferite. A înțelege care este care închide cea mai mare parte a dezbaterii despre ce poate și ce nu poate deduce un angajator.

Două adrese, două observații diferite

Mecanismul este un socket, nu o politică. Când clientul tău deschide tunelul, trimite pachete de la o adresă locală la adresa publică a porții, iar nucleul porții înregistrează sursa acelui flux. Sursa respectivă este punctul final de rețea pe care furnizorul tău l-a atribuit conexiunii în acel moment.

În spatele unui router de domiciliu, sursa este adresa publică a routerului după NAT. Într-o rețea mobilă poate fi o adresă NAT la nivel de operator, partajată în același timp cu mulți alți abonați, motiv pentru care două persoane fără legătură pot părea că vin din același loc. Într-o rețea de oaspeți corporativă este ieșirea acelei rețele. În orice caz, poarta află o adresă, un port și o marcă de timp, iar adresa aparține unui operator de rețea, nu unei persoane.

Ce înregistrează de fapt poarta

Ce se notează după aceea este o întrebare separată de ce este vizibil tehnic. Poarta poate înregistra conexiunea, identitatea de autentificare și adresa de tunel atribuită, sau poate să nu înregistreze aproape nimic în afară de starea sesiunii. Păstrarea, exportul către un SIEM și corelarea cu un cont sunt decizii de implementare și niciuna dintre ele nu decurge din faptul că sursa era observabilă.

Tratează vizibilitatea și păstrarea ca două axe. Un serviciu poate vedea tot și nu păstrează nimic, sau vede puțin și transmite mai departe tot.

Consecința practică este că nu poți raționa despre evidențele angajatorului tău pornind de la clientul pe care l-ai instalat. Întreabă ce este configurat să colecteze serviciul și pentru cât timp, și așteaptă-te ca răspunsul să fie un document de politică, nu o garanție tehnică. Merită și să separi poarta VPN de orice altceva de pe un dispozitiv administrat, pentru că software-ul de endpoint are capacități proprii și evidențe proprii. Un VPN personal schimbă o rută; nu schimbă ceea ce poate observa software-ul care rulează deja pe mașină.

Ce poate și ce nu poate spune o bază IP

O bază de date de geolocalizare IP ia acea adresă și returnează câmpuri: țara, regiunea, orașul, codul poștal, latitudinea și longitudinea, plus o rază de precizie acolo unde furnizorul oferă una. Acele câmpuri sunt estimări derivate din date de înregistrare, topologia rețelei și latența măsurată, și se degradează diferit la fiecare nivel. Un răspuns despre țară poate fi solid în timp ce răspunsul despre oraș este o presupunere.

Propriile îndrumări de precizie ale MaxMind sunt explicite cu privire la distincția care contează aici: a localiza un server VPN nu înseamnă a localiza utilizatorii lui, iar datele nu pot identifica o gospodărie, o persoană sau o adresă de stradă. Citește raza de precizie și câmpurile de încredere acolo unde produsul le expune, și tratează datele lipsă ca lipsă, nu ca valoare implicită. Un ac pe hartă este o alegere de redare, nu o măsurătoare. Evidențele de înregistrare și DNS-ul invers sunt încă un alt tip de dovadă: whois 203.0.113.5 îți spune ce operator deține alocarea, iar dig +short -x 203.0.113.5 îți spune cum a numit-o operatorul, și niciunul nu este o afirmație despre unde se afla o persoană.

Evidențe care nu sunt interschimbabile

Asta taie în ambele direcții, motiv pentru care este o bază slabă pentru o decizie categorică. O estimare care se potrivește cu regiunea aprobată nu dovedește prezența. O nepotrivire nu dovedește, prin ea însăși, inducere în eroare.

O analiză a muncii la distanță care se bazează pe o singură interogare răspunde la o altă întrebare decât cea pusă. Ce îi trebuie este context: ce locații permite înțelegerea, ce a raportat persoana și dacă alte dovezi sunt de acord. Este un proces de management cu date tehnice de intrare, nu un verdict tehnic.

Celelalte evidențe pe care o organizație le poate deține nu sunt interschimbabile cu o adresă sursă. Setarea fusului orar este o preferință a dispozitivului pe care oricine o poate schimba; un eveniment de cont înregistrează că a avut loc o sesiune, nu unde; o citire a locației dispozitivului făcută de software-ul de endpoint este un alt senzor, cu alte permisiuni și alte moduri de eroare. A presupune că fiecare angajator le colectează pe toate este la fel de greșit ca a presupune că niciunul nu este colectat. Disciplina utilă este să numești evidența, proprietarul ei și modul ei de eroare înainte de a o trata drept dovadă pentru orice.

Ce decurge pentru o înțelegere de muncă

Pentru înțelegerile tale, întrebarea de pus este ce colectează organizația și ce locuri de muncă permite. Sunt două răspunsuri din două părți diferite ale afacerii.

O afișare a IP-ului sursă nu poate rezolva permisiunea de a lucra dintr-un loc, iar schimbarea unei rute nu înlocuiește convenirea înțelegerii. Dacă politica este neclară, pasul productiv este să întrebi, nu să optimizezi calea de rețea. Ocolurile tehnice tind să producă exact evidența care arată ca o ascundere.

Afirmația tehnică defendabilă este îngustă și merită păstrată îngustă: poarta observă originea de rețea a conexiunii de intrare, o bază de date de geolocalizare poate estima o locație pentru acea origine, iar orice afirmație despre poziția fizică a unei persoane are nevoie de dovezi dincolo de ambele. Îndrumările de precizie MaxMind sunt referința pentru ceea ce susțin aceste estimări. Tot ce urmează după acest punct este o întrebare de politică îmbrăcată în tehnic.