Kaj lahko delovni prehod VPN vidi o tem, kje ste

Naslov, ki ga spletno mesto vidi po tem, ko se povežete z delovnim VPN, ni naslov, ki ga je delovni prehod videl ob povezavi. Prehod sprejme dohodni tunel iz katerega koli omrežja, v katerem je vaš prenosnik, in ta vir mu je viden, preden sploh obstaja tuneliran promet. To, da brskalnik pozneje poroča o podjetniškem izhodu, ne izbriše prejšnjega opažanja, ker gre za opažanji različnih stvari. Razumevanje, katero je katero, razreši večino razprave o tem, kaj delodajalec lahko in česa ne more sklepati.

Dva naslova, dve različni opažanji

Mehanizem je vtičnica, ne politika. Ko vaš odjemalec odpre tunel, pošilja pakete z lokalnega naslova na javni naslov prehoda, jedro prehoda pa zabeleži vir tega toka. Ta vir je omrežna končna točka, ki jo je vaš ponudnik ob tistem trenutku dodelil povezavi.

Za domačim usmerjevalnikom je vir javni naslov usmerjevalnika po NAT. V mobilnem omrežju je to lahko naslov NAT na ravni operaterja, ki si ga hkrati deli veliko drugih naročnikov, zato se lahko zdi, da dve nepovezani osebi prihajata z istega mesta. V podjetniškem gostujočem omrežju je to izhod tega omrežja. V vsakem primeru prehod izve naslov, vrata in časovni žig, naslov pa pripada omrežnemu operaterju in ne osebi.

Kaj prehod dejansko zabeleži

Kaj se pozneje zapiše, je ločeno vprašanje od tega, kaj je tehnično vidno. Prehod lahko beleži povezavo, identiteto preverjanja in dodeljeni naslov tunela, ali pa ne beleži skoraj ničesar razen stanja seje. Hramba, izvoz v SIEM in korelacija z računom so odločitve o uvedbi in nobena od njih ne izhaja iz dejstva, da je bil vir opazen.

Vidnost in hrambo obravnavajte kot dve osi. Storitev lahko vidi vse in ne shrani ničesar, ali vidi malo in vse posreduje naprej.

Praktična posledica je, da o evidencah svojega delodajalca ne morete sklepati na podlagi odjemalca, ki ste ga namestili. Vprašajte, kaj je storitev nastavljena zbirati in kako dolgo, in pričakujte, da bo odgovor dokument o politiki in ne tehnično jamstvo. Vredno je tudi ločiti prehod VPN od vsega drugega na upravljani napravi, ker ima programska oprema na končni točki lastne zmožnosti in lastne evidence. Osebni VPN spremeni pot; ne spremeni tega, kar lahko opazi programska oprema, ki že teče na stroju.

Kaj zbirka IP lahko pove in česa ne

Zbirka podatkov za geolokacijo IP vzame ta naslov in vrne polja: državo, regijo, mesto, poštno številko, zemljepisno širino in dolžino ter radij natančnosti, kjer ga ponudnik navaja. Ta polja so ocene, izpeljane iz registracijskih podatkov, omrežne topologije in izmerjene zakasnitve, in se na vsaki ravni slabšajo različno. Odgovor o državi je lahko trden, medtem ko je odgovor o mestu ugibanje.

Lastne smernice MaxMind o natančnosti so izrecne glede razlike, ki je tu pomembna: locirati strežnik VPN ni isto kot locirati njegove uporabnike, podatki pa ne morejo prepoznati gospodinjstva, posameznika ali uličnega naslova. Preberite radij natančnosti in polja zaupanja tam, kjer jih izdelek razkrije, in manjkajoče podatke obravnavajte kot manjkajoče, ne kot privzeto vrednost. Zastavica na zemljevidu je izbira prikaza, ne meritev. Registracijske evidence in obratni DNS so še ena vrsta dokaza: whois 203.0.113.5 vam pove, kateri operater ima dodelitev, in dig +short -x 203.0.113.5 vam pove, kako jo je operater poimenoval, in nobeno od tega ni trditev o tem, kje je oseba stala.

Evidence, ki niso zamenljive

To reže na obe strani, zato je slab temelj za kategorično odločitev. Ocena, ki se ujema z odobreno regijo, ne dokazuje prisotnosti. Neskladje samo po sebi ne dokazuje zavajanja.

Pregled dela na daljavo, ki se opira na eno samo poizvedbo, odgovarja na drugo vprašanje od postavljenega. Potrebuje kontekst: katere lokacije dogovor dovoljuje, kaj je oseba navedla in ali se drugi dokazi ujemajo. To je vodstveni proces s tehničnimi vhodi, ne tehnična razsodba.

Druge evidence, ki jih organizacija lahko hrani, niso zamenljive z izvornim naslovom. Nastavitev časovnega pasu je nastavitev naprave, ki jo lahko vsak spremeni; dogodek na računu zabeleži, da je seja potekala, ne kje; odčitek lokacije naprave iz programske opreme na končni točki je drug senzor z drugimi dovoljenji in drugimi načini napake. Domnevati, da vsak delodajalec zbira vse, je enako napačno kot domnevati, da se ne zbira nobenega. Koristna disciplina je poimenovati evidenco, njenega lastnika in njen način napake, preden jo obravnavate kot dokaz česarkoli.

Kaj iz tega sledi za delovni dogovor

Za vaše dogovore je vprašanje, kaj organizacija zbira in katere delovne lokacije dovoljuje. To sta dva odgovora iz dveh različnih delov poslovanja.

Prikaz izvornega IP ne more razrešiti dovoljenja za delo s kraja, in spreminjanje poti ni nadomestilo za dogovor o ureditvi. Če je politika nejasna, je produktivna poteza vprašati, ne pa optimizirati omrežno pot. Tehnične izognitve navadno ustvarijo natanko tisto evidenco, ki je videti kot prikrivanje.

Zagovorljiva tehnična trditev je ozka in vredno jo je ohraniti ozko: prehod opazuje omrežni izvor dohodne povezave, zbirka podatkov za geolokacijo lahko za ta izvor oceni lokacijo, in vsaka trditev o fizičnem položaju osebe potrebuje dokaze onkraj obojega. Smernice MaxMind o natančnosti so referenca za to, kaj te ocene podpirajo. Vse za to točko je politično vprašanje v tehnični preobleki.