Ish VPN shlyuzi joylashuvingiz haqida nimani ko’rishi mumkin

Ish VPN ga ulangandan keyin veb-sayt ko’radigan manzil, siz ulangan paytda ish shlyuzi ko’rgan manzil emas. Shlyuz noutbukingiz qaysi tarmoqda bo’lishidan qat’i nazar, kiruvchi tunnelni qabul qiladi va bu manba har qanday tunnel trafigi paydo bo’lishidan oldin unga ko’rinadi. Brauzer keyinroq korporativ chiqishni bildirishi avvalgi kuzatuvni o’chirmaydi, chunki bu ikkisi turli narsalarning kuzatuvi. Qaysi biri qaysi ekanini tushunish, ish beruvchi nimani xulosa qila olishi va qila olmasligi haqidagi bahsning katta qismini hal qiladi.

Ikki manzil, ikki xil kuzatuv

Mexanizm siyosat emas, soketdir. Mijozingiz tunnelni ochganda, paketlarni mahalliy manzildan shlyuzning umumiy manziliga yuboradi va shlyuz yadrosi shu oqimning manbasini qayd etadi. Bu manba sizning provayderingiz o’sha paytda ulanishga tayinlagan tarmoq oxirgi nuqtasidir.

Uy routeri orqasida manba NAT dan keyingi routerning umumiy manzilidir. Mobil tarmoqda bu bir vaqtning o’zida ko’plab boshqa abonentlar bilan bo’lishiladigan operator darajasidagi NAT manzili bo’lishi mumkin, shuning uchun bir-biriga aloqasi bo’lmagan ikki kishi bir joydan kelayotgandek ko’rinishi mumkin. Korporativ mehmon tarmog’ida bu o’sha tarmoqning chiqishidir. Har holda shlyuz manzil, port va vaqt belgisini o’rganadi va manzil shaxsga emas, tarmoq operatoriga tegishli.

Shlyuz aslida nimani qayd etadi

Keyinchalik nima yozilishi texnik jihatdan nima ko’rinishidan alohida savol. Shlyuz ulanishni, autentifikatsiya identifikatorini va tayinlangan tunnel manzilini qayd etishi mumkin yoki sessiya holatidan boshqa deyarli hech narsani qayd etmasligi mumkin. Saqlash, SIEM ga eksport va hisob bilan korrelyatsiya joylashtirish qarorlari bo’lib, ularning hech biri manbaning kuzatilishi mumkin bo’lganligidan kelib chiqmaydi.

Ko’rinish va saqlashni ikki o’q sifatida qabul qiling. Xizmat hamma narsani ko’rib, hech narsani saqlamasligi yoki ozini ko’rib, hammasini uzatishi mumkin.

Amaliy natija shuki, siz o’rnatgan mijozdan ish beruvchingizning yozuvlari haqida fikr yurita olmaysiz. Xizmat nimani va qancha vaqt yig’ish uchun sozlanganini so’rang va javob texnik kafolat emas, siyosat hujjati bo’lishini kuting. VPN shlyuzini boshqariladigan qurilmadagi boshqa hamma narsadan ajratish ham arziydi, chunki oxirgi nuqta dasturi o’z imkoniyatlari va o’z yozuvlariga ega. Shaxsiy VPN marshrutni o’zgartiradi; mashinada allaqachon ishlayotgan dastur nimani kuzatishi mumkinligini o’zgartirmaydi.

IP bazasi nima deyishi mumkin va mumkin emas

IP geolokatsiya ma’lumotlar bazasi shu manzilni oladi va maydonlarni qaytaradi: mamlakat, mintaqa, shahar, pochta indeksi, kenglik va uzunlik, sotuvchi taqdim etsa, aniqlik radiusi. Bu maydonlar ro’yxatga olish ma’lumotlari, tarmoq topologiyasi va o’lchangan kechikish asosida olingan taxminlar bo’lib, har bir darajada turlicha yomonlashadi. Mamlakat javobi mustahkam bo’lishi mumkin, shahar javobi esa taxmin bo’lib qoladi.

MaxMind ning o’z aniqlik qo’llanmasi bu yerda muhim bo’lgan farqni aniq ko’rsatadi: VPN serverni topish uning foydalanuvchilarini topish emas va ma’lumotlar uy xo’jaligini, shaxsni yoki ko’cha manzilini aniqlay olmaydi. Mahsulot taqdim etgan joylarda aniqlik radiusi va ishonch maydonlarini o’qing va mavjud bo’lmagan ma’lumotni standart qiymat sifatida emas, mavjud bo’lmagan deb qabul qiling. Xaritadagi belgi ko’rsatish tanlovi, o’lchov emas. Ro’yxatga olish yozuvlari va teskari DNS boshqa turdagi dalildir: whois 203.0.113.5 qaysi operator ajratmaga egaligini, dig +short -x 203.0.113.5 operator uni qanday nomlaganini aytadi va ikkisi ham inson qayerda turgani haqidagi bayonot emas.

Almashtirilmaydigan yozuvlar

Bu ikki tomonga ham kesadi, shuning uchun qat’iy qaror uchun yomon asosdir. Tasdiqlangan mintaqaga mos taxmin mavjudlikni isbotlamaydi. Nomuvofiqlik o’z-o’zidan aldashni isbotlamaydi.

Bitta qidiruvga tayanadigan masofaviy ish ko’rigi berilgan savoldan boshqa savolga javob beradi. Unga muvofiqlik kerak: kelishuv qaysi joylarga ruxsat beradi, shaxs nima xabar berdi va boshqa dalillar mos keladimi. Bu texnik kirishga ega boshqaruv jarayoni, texnik hukm emas.

Tashkilot ega bo’lishi mumkin bo’lgan boshqa yozuvlar manba manzili bilan almashtirilmaydi. Vaqt mintaqasi sozlamasi har kim o’zgartira oladigan qurilma afzalligidir; hisob hodisasi sessiya bo’lganini qayd etadi, qayerda bo’lganini emas; oxirgi nuqta dasturidan olingan qurilma joylashuv o’qishi boshqa ruxsatlar va boshqa xato rejimlariga ega boshqa sensordir. Har bir ish beruvchi ularning hammasini yig’adi deb o’ylash, hech biri yig’ilmaydi deb o’ylash kabi xatodir. Foydali intizom — biror narsani dalil sifatida qabul qilishdan oldin yozuvni, uning egasini va xato rejimini nomlash.

Ish kelishuvi uchun bundan nima kelib chiqadi

O’zingizning kelishuvlaringiz uchun savol: tashkilot nima yig’adi va qaysi ish joylariga ruxsat beradi. Bu biznesning ikki turli qismidan ikki javob.

Manba IP ko’rsatkichi bir joydan ishlash ruxsatini hal qila olmaydi va marshrutni o’zgartirish kelishuvni kelishishning o’rnini bosmaydi. Siyosat noaniq bo’lsa, samarali qadam tarmoq yo’lini optimallashtirish emas, so’rashdir. Texnik aylanib o’tishlar odatda yashirishga o’xshaydigan aynan o’sha yozuvni keltirib chiqaradi.

Himoya qilinadigan texnik bayonot tordir va uni tor saqlashga arziydi: shlyuz kiruvchi ulanishning tarmoq kelib chiqishini kuzatadi, geolokatsiya ma’lumotlar bazasi shu kelib chiqish uchun joylashuvni taxmin qilishi mumkin va shaxsning jismoniy holati haqidagi har qanday da’vo ikkalasidan tashqari dalillarni talab qiladi. MaxMind aniqlik qo’llanmasi bu taxminlar nimani qo’llab-quvvatlashi uchun havoladir. Bundan keyingi hamma narsa texnik libosdagi siyosat savolidir.