Cổng VPN công ty có thể thấy gì về vị trí của bạn

Địa chỉ mà một trang web thấy sau khi bạn kết nối với VPN công ty không phải là địa chỉ mà cổng công ty đã thấy khi bạn kết nối. Cổng chấp nhận một đường hầm đi vào từ bất kỳ mạng nào mà laptop của bạn đang ở, và nguồn đó hiển thị với nó trước khi có bất kỳ lưu lượng đường hầm nào. Việc trình duyệt sau đó báo cáo một lối ra của doanh nghiệp không xóa quan sát trước đó, vì hai thứ là quan sát của những thứ khác nhau. Hiểu cái nào là cái nào giải quyết phần lớn cuộc tranh luận về việc nhà tuyển dụng có thể và không thể suy ra điều gì.

Hai địa chỉ, hai quan sát khác nhau

Cơ chế là một socket, không phải một chính sách. Khi ứng dụng khách mở đường hầm, nó gửi các gói tin từ một địa chỉ cục bộ đến địa chỉ công cộng của cổng, và nhân của cổng ghi lại nguồn của luồng đó. Nguồn đó là điểm cuối mạng mà nhà cung cấp đã gán cho kết nối vào thời điểm đó.

Phía sau một router gia đình, nguồn là địa chỉ công cộng của router sau NAT. Trên mạng di động, đó có thể là địa chỉ NAT cấp nhà mạng được chia sẻ với nhiều thuê bao khác cùng lúc, đó là lý do hai người không liên quan có thể trông như đến từ cùng một nơi. Trên mạng khách của doanh nghiệp, đó là lối ra của mạng đó. Trong mọi trường hợp, cổng biết một địa chỉ, một cổng dịch vụ và một dấu thời gian, và địa chỉ thuộc về một nhà mạng chứ không phải một người.

Cổng thực sự ghi lại gì

Những gì được ghi lại sau đó là một câu hỏi tách biệt với những gì kỹ thuật có thể thấy. Cổng có thể ghi nhật ký kết nối, danh tính xác thực và địa chỉ đường hầm được gán, hoặc có thể ghi gần như không gì ngoài trạng thái phiên. Lưu trữ, xuất sang SIEM và tương quan với một tài khoản là các quyết định triển khai, và không điều nào trong số đó suy ra từ việc nguồn có thể quan sát được.

Hãy coi khả năng hiển thị và lưu trữ là hai trục. Một dịch vụ có thể thấy mọi thứ và không giữ gì, hoặc thấy ít và chuyển tiếp tất cả.

Hệ quả thực tế là bạn không thể lập luận về hồ sơ của nhà tuyển dụng từ ứng dụng khách bạn đã cài. Hãy hỏi dịch vụ được cấu hình thu thập gì và trong bao lâu, và hãy chờ đợi câu trả lời là một tài liệu chính sách chứ không phải một bảo đảm kỹ thuật. Cũng đáng tách cổng VPN khỏi mọi thứ khác trên một thiết bị được quản lý, vì phần mềm trên thiết bị đầu cuối có khả năng riêng và hồ sơ riêng. Một VPN cá nhân thay đổi một tuyến đường; nó không thay đổi những gì phần mềm đã chạy trên máy có thể quan sát.

Cơ sở dữ liệu IP có thể nói gì và không thể nói gì

Một cơ sở dữ liệu định vị IP lấy địa chỉ đó và trả về các trường: quốc gia, vùng, thành phố, mã bưu chính, vĩ độ và kinh độ, cùng bán kính độ chính xác khi nhà cung cấp đưa ra một giá trị. Những trường đó là ước lượng suy ra từ dữ liệu đăng ký, cấu trúc liên kết mạng và độ trễ đo được, và chúng suy giảm khác nhau ở từng mức. Câu trả lời về quốc gia có thể vững chắc trong khi câu trả lời về thành phố là phỏng đoán.

Hướng dẫn độ chính xác của chính MaxMind nói rõ về sự phân biệt quan trọng ở đây: định vị một máy chủ VPN không phải là định vị người dùng của nó, và dữ liệu không thể nhận diện một hộ gia đình, một cá nhân hay một địa chỉ đường phố. Hãy đọc bán kính độ chính xác và các trường độ tin cậy ở nơi sản phẩm công bố chúng, và coi dữ liệu thiếu là thiếu chứ không phải giá trị mặc định. Một ghim trên bản đồ là lựa chọn hiển thị, không phải phép đo. Hồ sơ đăng ký và DNS ngược là một loại bằng chứng khác: whois 203.0.113.5 cho bạn biết nhà mạng nào giữ việc phân bổ và dig +short -x 203.0.113.5 cho bạn biết nhà mạng đã đặt tên nó là gì, và không cái nào là phát biểu về nơi một người đang đứng.

Những hồ sơ không thể thay thế nhau

Điều này cắt cả hai chiều, và đó là lý do nó là nền tảng yếu cho một quyết định dứt khoát. Một ước lượng khớp với vùng đã được chấp thuận không chứng minh sự hiện diện. Một sự không khớp tự nó không chứng minh sự gian dối.

Một cuộc rà soát công việc từ xa dựa trên một lần tra cứu trả lời một câu hỏi khác với câu hỏi được đặt ra. Điều nó cần là bối cảnh: thỏa thuận cho phép những địa điểm nào, người đó đã báo cáo gì, và liệu bằng chứng khác có nhất quán không. Đó là một quy trình quản lý với đầu vào kỹ thuật, không phải một phán quyết kỹ thuật.

Những hồ sơ khác mà một tổ chức có thể có không thể thay thế cho một địa chỉ nguồn. Cài đặt múi giờ là tùy chọn thiết bị mà bất kỳ ai cũng có thể thay đổi; một sự kiện tài khoản ghi lại rằng đã có một phiên, không phải ở đâu; một lần đọc vị trí thiết bị từ phần mềm đầu cuối là một cảm biến khác, với quyền khác và chế độ lỗi khác. Cho rằng mọi nhà tuyển dụng thu thập tất cả là sai lầm ngang với cho rằng không có cái nào được thu thập. Kỷ luật hữu ích là gọi tên hồ sơ, chủ sở hữu và chế độ lỗi của nó trước khi coi nó là bằng chứng cho bất cứ điều gì.

Điều gì tiếp theo cho một thỏa thuận làm việc

Đối với thỏa thuận của chính bạn, câu hỏi cần đặt là tổ chức thu thập gì và cho phép những địa điểm làm việc nào. Đó là hai câu trả lời từ hai bộ phận khác nhau của doanh nghiệp.

Một hiển thị IP nguồn không thể giải quyết quyền được làm việc từ một nơi, và thay đổi một tuyến đường không thay thế cho việc thống nhất thỏa thuận. Nếu chính sách không rõ ràng, bước hiệu quả là hỏi thay vì tối ưu hóa đường mạng. Các cách vòng tránh kỹ thuật thường tạo ra đúng hồ sơ trông giống như che giấu.

Phát biểu kỹ thuật có thể bảo vệ được là hẹp, và đáng giữ cho hẹp: cổng quan sát nguồn gốc mạng của kết nối đi vào, một cơ sở dữ liệu định vị có thể ước lượng một vị trí cho nguồn gốc đó, và mọi khẳng định về vị trí vật lý của một người cần bằng chứng vượt ra ngoài cả hai. Hướng dẫn độ chính xác của MaxMind là tài liệu tham chiếu cho những gì các ước lượng đó hỗ trợ. Mọi thứ sau điểm đó là một câu hỏi chính sách khoác áo kỹ thuật.