Що робочий VPN-шлюз може дізнатися про те, де ви перебуваєте

Адреса, яку бачить вебсайт після підключення до робочого VPN, — не та адреса, яку робочий шлюз бачив під час підключення. Шлюз приймає вхідний тунель з будь-якої мережі, у якій перебуває ваш ноутбук, і це джерело видиме йому ще до появи будь-якого трафіку в тунелі. Те, що браузер згодом повідомляє про корпоративний вихід, не стирає попереднього спостереження, бо це спостереження різних речей. Розуміння того, що є що, знімає більшу частину спору про те, що роботодавець може, а чого не може вивести.

Дві адреси, два різні спостереження

Механізм — це сокет, а не політика. Коли ваш клієнт відкриває тунель, він надсилає пакети з локальної адреси на публічну адресу шлюзу, а ядро шлюзу записує джерело цього потоку. Це джерело — мережева кінцева точка, яку ваш постачальник призначив з'єднанню в той момент.

За домашнім маршрутизатором джерело — публічна адреса маршрутизатора після NAT. У мобільній мережі це може бути адреса NAT операторського рівня, яку одночасно поділяють багато інших абонентів, тому двоє незнайомих людей можуть виглядати так, ніби прийшли з одного місця. У корпоративній гостьовій мережі це вихід тієї мережі. У будь-якому разі шлюз дізнається адресу, порт і позначку часу, а адреса належить мережевому оператору, а не людині.

Що шлюз насправді записує

Що записується потім — окреме питання від того, що технічно видно. Шлюз може записувати з'єднання, ідентичність автентифікації та призначену адресу тунелю, а може не записувати майже нічого, крім стану сеансу. Зберігання, експорт у SIEM і кореляція з обліковим записом — рішення про розгортання, і жодне з них не випливає з того, що джерело було спостережуваним.

Розглядайте видимість і зберігання як дві осі. Служба може бачити все і нічого не зберігати або бачити мало й передавати все далі.

Практичний наслідок: ви не можете міркувати про записи роботодавця за клієнтом, який установили. Запитайте, що служба налаштована збирати і як довго, і чекайте, що відповіддю буде документ про політику, а не технічна гарантія. Варто також відокремити VPN-шлюз від усього іншого на керованому пристрої, бо програмне забезпечення кінцевої точки має власні можливості й власні записи. Особистий VPN змінює маршрут; він не змінює того, що може спостерігати програма, яка вже працює на машині.

Що база IP може і чого не може сказати

База геолокації за IP бере цю адресу і повертає поля: країну, регіон, місто, поштовий індекс, широту й довготу, а також радіус точності, якщо постачальник його дає. Ці поля — оцінки, виведені з реєстраційних даних, топології мережі та виміряної затримки, і вони по-різному погіршуються на кожному рівні. Відповідь про країну може бути міцною, тоді як відповідь про місто — здогадом.

Власні настанови MaxMind щодо точності прямо говорять про відмінність, важливу тут: знайти VPN-сервер не означає знайти його користувачів, і дані не можуть ідентифікувати домогосподарство, особу чи адресу вулиці. Читайте радіус точності й поля впевненості там, де продукт їх показує, і ставтеся до відсутніх даних як до відсутніх, а не як до усталеного значення. Шпилька на карті — це вибір подання, а не вимірювання. Реєстраційні записи й зворотний DNS — ще один вид доказів: whois 203.0.113.5 каже, який оператор тримає розподіл, а dig +short -x 203.0.113.5 каже, як оператор його назвав, і жодне з них не є твердженням про те, де стояла людина.

Записи, які не є взаємозамінними

Це ріже в обидва боки, тому це погана основа для категоричного рішення. Оцінка, що збігається зі схваленим регіоном, не доводить присутності. Розбіжність сама по собі не доводить обману.

Огляд віддаленої роботи, що спирається на один запит, відповідає на інше питання, ніж поставлене. Йому потрібен контекст: які місця допускає домовленість, що заявила людина і чи узгоджуються інші докази. Це управлінський процес з технічними вхідними даними, а не технічний вердикт.

Інші записи, які може мати організація, не є взаємозамінними з адресою джерела. Налаштування часового поясу — це вподобання пристрою, яке може змінити будь-хто; подія облікового запису фіксує, що сеанс був, а не де; читання місцеперебування пристрою з програмного забезпечення кінцевої точки — інший датчик, з іншими дозволами й іншими режимами помилок. Припускати, що кожен роботодавець збирає все це, так само неправильно, як припускати, що не збирається нічого. Корисна дисципліна — назвати запис, його власника та режим його помилки, перш ніж вважати його доказом чогось.

Що з цього випливає для робочої домовленості

Для ваших власних домовленостей питання в тому, що збирає організація і які робочі місця допускає. Це дві відповіді з двох різних частин бізнесу.

Показ вихідної IP не може вирішити питання дозволу працювати з певного місця, а зміна маршруту не замінює узгодження домовленості. Якщо політика неясна, продуктивний крок — запитати, а не оптимізувати мережевий шлях. Технічні обходи зазвичай породжують саме той запис, який виглядає як приховування.

Захисне технічне твердження вузьке, і його варто тримати вузьким: шлюз спостерігає мережеве походження вхідного з'єднання, база геолокації може оцінити місце для цього походження, а будь-яке твердження про фізичне положення людини потребує доказів поза обома. Настанови MaxMind щодо точності — це орієнтир для того, що ці оцінки підтримують. Усе далі — питання політики в технічному костюмі.