Что рабочий VPN-шлюз может узнать о том, где вы находитесь

Адрес, который видит сайт после подключения к рабочему VPN, — не тот адрес, который рабочий шлюз видел при подключении. Шлюз принимает входящий туннель из любой сети, в которой находится ноутбук, и этот источник виден ему ещё до того, как появится хоть какой-то туннельный трафик. То, что браузер позже сообщает корпоративный выход, не стирает предыдущее наблюдение, потому что это наблюдения разных вещей. Понимание того, что есть что, снимает большую часть спора о том, что работодатель может и чего не может вывести.

Два адреса, два разных наблюдения

Механизм — сокет, а не политика. Когда клиент открывает туннель, он отправляет пакеты с локального адреса на публичный адрес шлюза, а ядро шлюза записывает источник этого потока. Этот источник — сетевой конечный пункт, который провайдер назначил подключению в тот момент.

За домашним роутером источник — публичный адрес роутера после NAT. В мобильной сети это может быть адрес NAT операторского уровня, одновременно разделяемый со многими другими абонентами, поэтому два незнакомых человека могут выглядеть так, будто пришли из одного места. В корпоративной гостевой сети это выход той сети. В любом случае шлюз узнаёт адрес, порт и метку времени, а адрес принадлежит сетевому оператору, а не человеку.

Что шлюз действительно записывает

Что записывается потом — отдельный вопрос от того, что технически видно. Шлюз может записывать подключение, идентичность аутентификации и назначенный адрес туннеля, а может не записывать почти ничего, кроме состояния сессии. Хранение, экспорт в SIEM и корреляция с учётной записью — решения о развёртывании, и ни одно из них не следует из того, что источник был наблюдаем.

Рассматривайте видимость и хранение как две оси. Служба может видеть всё и не хранить ничего либо видеть немного и передавать всё дальше.

Практическое следствие: вы не можете судить о записях работодателя по клиенту, который установили. Спросите, что служба настроена собирать и как долго, и ждите, что ответом будет документ о политике, а не техническая гарантия. Стоит также отделить VPN-шлюз от всего остального на управляемом устройстве, потому что у программного обеспечения конечной точки свои возможности и свои записи. Личный VPN меняет маршрут; он не меняет того, что может наблюдать программа, уже работающая на машине.

Что база IP может и чего не может сказать

База геолокации по IP берёт этот адрес и возвращает поля: страну, регион, город, почтовый индекс, широту и долготу, а также радиус точности, если поставщик его даёт. Эти поля — оценки, выведенные из регистрационных данных, топологии сети и измеренной задержки, и они ухудшаются по-разному на каждом уровне. Ответ по стране может быть прочным, тогда как ответ по городу — догадкой.

Собственные рекомендации MaxMind по точности прямо говорят о различии, важном здесь: найти VPN-сервер не значит найти его пользователей, и данные не могут определить домохозяйство, человека или адрес улицы. Читайте радиус точности и поля уверенности там, где продукт их показывает, и относитесь к отсутствующим данным как к отсутствующим, а не как к значению по умолчанию. Булавка на карте — это выбор отображения, а не измерение. Регистрационные записи и обратный DNS — ещё один вид доказательства: whois 203.0.113.5 говорит, какой оператор держит распределение, а dig +short -x 203.0.113.5 — как оператор его назвал, и ни то ни другое не является утверждением о том, где стоял человек.

Записи, которые не взаимозаменяемы

Это режет в обе стороны, поэтому служит плохой основой для категорического решения. Оценка, совпадающая с одобренным регионом, не доказывает присутствия. Несовпадение само по себе не доказывает обмана.

Обзор удалённой работы, опирающийся на один запрос, отвечает на другой вопрос, чем заданный. Ему нужен контекст: какие места допускает договорённость, что заявил человек и согласуются ли другие доказательства. Это управленческий процесс с техническими входными данными, а не технический вердикт.

Другие записи, которые могут быть у организации, не взаимозаменяемы с адресом источника. Настройка часового пояса — предпочтение устройства, которое может изменить любой; событие учётной записи фиксирует, что сессия была, а не где; чтение местоположения устройства из программного обеспечения конечной точки — другой датчик, с другими разрешениями и другими режимами ошибок. Предполагать, что каждый работодатель собирает всё это, так же неверно, как предполагать, что не собирается ничего. Полезная дисциплина — назвать запись, её владельца и режим её ошибки, прежде чем считать её доказательством чего-либо.

Что из этого следует для рабочей договорённости

Для ваших собственных договорённостей вопрос в том, что собирает организация и какие рабочие места допускает. Это два ответа из двух разных частей бизнеса.

Показ исходного IP не может решить вопрос о разрешении работать из определённого места, а смена маршрута не заменяет согласования договорённости. Если политика неясна, продуктивный шаг — спросить, а не оптимизировать сетевой путь. Технические обходные пути обычно порождают именно ту запись, которая выглядит как сокрытие.

Защитимое техническое утверждение узко, и его стоит держать узким: шлюз наблюдает сетевой источник входящего подключения, база геолокации может оценить местоположение для этого источника, а любое утверждение о физическом положении человека требует доказательств за пределами обоих. Рекомендации MaxMind по точности — это ориентир для того, что эти оценки поддерживают. Всё дальше — вопрос политики в техническом костюме.