Как скрыть местоположения пользователя при подключению к виртуальному рабочему месту?

Question

[vsvfedotov]

Работаю разработчиком удалённо в компании, в которой после известных событий запрещено работать не из РФ. Подскажите способ обойти это ограничение так, чтобы спецы из отдел безопасности не заприметили. При удалённом подключении к удалённой рабочей машине используется С-Терра Клиент. Кто разбирается, пожалуйста, распишите подробнее построение решения или дайте ссылки.

Answer 1

[AlexVWill]

Сервера на хостингах в РФ могут не прокатить, т.к. их пул IP известен. Самое надёжное средство это поднять VPN сервер на домашнем микротике в РФ и выходить в рабочую сеть через него. Для этого надо правда получить статический IP у домашнего провайдера.

Comments

[CityCat4]

И подставить владельца IP, ога. ИБ пробивает IP, находит город и провайдера, затем профилактический бан логина до дачи обьяснений. Все.

[AlexVWill]

CityCat4, во 1-х каким образом мы подставляем владельца IP? Владельцу IP если это не сотрудник глубоко пофигу может быть на все это объяснения и баны, к тому же IP можно всегда поменять. Во 2-х а кто сказал что я не могу работать из другого города, условие было чтобы работать в РФ? В 3-х а кто мешает у себя дома (или у родственников в том же городе) если это возможно организовать подобное?
Вообще, у корпоративной СБ отношение к этой задаче сугубо пофигистическое (сам, как представитель оной знаю), главное чтобы IP был российский.

[vsvfedotov]

AlexVWill , да, я изначально предполагал поднять VPN over VPN. Но меня С-Терра эта смущает хочу попробовать расковырять её возможности.

[AlexVWill]

vsvfedotov, почтай внимательно NDA, трудовой договор и политику информационной безопасности твоей конторы, есть ли там какие то условия по этой части? Ну, чтобы четко понимать, что мы нарушаем ))) ну и надеюсь ты допуск к ГТ и СКХ не подписывал, так, на всякий случай спросил? )))

[CityCat4]

AlexVWill,

у корпоративной СБ отношение к этой задаче сугубо пофигистическое

Отучаемся говорить за всех (С) FIDONet
Может быть в Вашей конторе, или в конторах ближайшего окружения или в конторах, где работают Ваши знакомые - так оно есть. Ноэто не повод говорить, что у всей корпоративной СБ такое отношение.
(Обратного примера правда привести не могу - нет у меня знакомых в конторах такой крупности и такой серьезности)

во 1-х каким образом мы подставляем владельца IP?

Да очень просто. Вы согласитесь поставить какую-то службу на личный микротик/другой роутер/еще куда ради незнакомого человека, чтобы он мог обманывать своего работодателя? (Ответ "да" возможен, но это, к сожалению, рано или поздно закончится тем, чем закончилось дело Дмитрия Богатова) Если ответ "нет", значит это Ваш друг, родственник или еще кто-то, непосторонний Вам. И вот в один совсем нифига не прекрасный момент Вам звонит некто с номера, который пробивается как номер некоего предприятия и вежливо спрашивает, кем Вам доводится некто и почему он заходит в корпоративный VPN с Вашего адреса?

Владельцу IP если это не сотрудник глубоко пофигу может быть на все это объяснения

Его и не спросят - он не сотрудник. Его спросят о другом. Да, он может послать, доказывая тем самым, что дело здесь нечисто и в бан стоит отправить логин сотрудника (не Ваш IP!)

к тому же IP можно всегда поменять

Правда? Ну, расскажите как поменять IP домашнего провайдера :)

а кто сказал что я не могу работать из другого города

Можете. Вот после того, как пришлете фотку возле известной городской достопримечательности, так сразу и можете.

а кто мешает у себя дома (или у родственников в том же городе) если это возможно организовать подобное?

Никто не мешает. Но вашим домашним или родственникам придется врать. А вранье всегда чувствуется.

Понимаете, у ИБ-шника очень простая и выигрышная позиция - забанить юзера и пусть он доказывает, что он на самом деле в РФ. Но Вы конечно можете не верить в это.

[AlexVWill]

Можете. Вот после того, как пришлете фотку возле известной городской достопримечательности, так сразу и можете.

Ну конечно, все сотрудники, бедные, которые ездят по командировкам регулярно фоткаются на фоне местной достопримечательности или пишут сразу объяснительные в ИБ... Или сразу бан. )))
Послушайте, ну хватит же уже ерунду писать, с каждым словом увязая в этом болоте все глубже, иногда просто стоит остановится.
Еще раз, инфо как оно на практике: компании отслеживают с какого IP заходят сотрудники. Но отслеживаются только иностранные IP (да то то, не всегда). Все. Ничего больше, если ты не являешься каким то строго охраняемым челом, но в этом случае удаленный доступ никуда просто не дадут. Могут еще смотреть, идет ли трафик через VPN, но это сложно и есть ньюансы.
Не надо плодить без нужды сущности.

Answer 2

[pindschik]

1) Работать из деревни из погреба :)
2) VPN от роутера ТАМ до домашнего роутера ТУТ с выходом в интернет через туннель. Ненадежно, т.к. VPN переходит в серую зону. Но для наблюдателя - Вы точно будете дома. На некоторых моделях роутеров можно обойтись и без белого IP дома (за счет своего сервиса DNS, типа KeenDNS).
3) Виртуалка на домашнем компе ТУТ, подключение по удаленке к хосту где эта виртуалка, дальше в корп сеть. Если специально не будут искать виртуалку- не найдут. Если найдут - можно сказать, что комп старый и на нем не работает нужная операционка, поэтому виртуалка.
4) Сменить работодателя. Ибо если безопастники и вправду спецы - они поймут что Вы "бежали" и без контроля за ПК.

Comments

[CityCat4]

Вычисляется на раз. Хыр отправляет письмо "необходимо приехать в офис для уточнения данных блаблабла/подписания допсоглашения/прохождения флюорографии/еще какая хрень". Если удаленщик из другого города - просит тупо фотку на фоне известной городской достопримечательности. Все, приплыли.

Answer 3

[CityCat4]

"работать из Эрэфии"

Что это за сказочная страна? Это видимо из фантастического глобуса, где кроме нее есть еще Пиндосия и Хохляндия? (А еще Чуркестан...)

т.е. удалённо таки можно? и как это происходит(ло)?

Можно, если IP российский и не принадлежит пулу хостинговых компаний. Ну и опять же - там, где такое заявляют, обычно и проверяют тоже. Подключился Иванов, котоый живет в Питере - но почему-то IP у него - иркутский! Давайте-ка забаним Иванова до дачи обьяснений...

в банальном случае и чтоб бесплатно на тутошний комп ставишь anydesk (etc) и повторяешь остальное как раньше

Смешно. В лучшем случае владельцу позвонят из местного СБ и вежливо спросят, знает ли он Иванова. В худшем - придут в гости, вежливо вынеся дверь :)

Кончились времена, когда можно было жить в "нормальных-то странах", а работать по удаленке в "презренном Мордоре". Теперь - либо с эльфами в зеленый мир, либо с орками в общий строй...

Comments

[AlexVWill]

позвонят из местного СБ и вежливо В худшем - придут в гости, вежливо вынеся дверь :)

Кому позвонят, кто вынесет? Написано же - человек работает в компании, а не в ГРУ и СВР.

[CityCat4]

AlexVWill, Дурака не надо включать, не поможет :) Позвонят владельцу IP, которого установят быстренько - каждый IP принадлежит провайдеру, у провайдера есть контракт с конкретным лицом, у лица есть телефон. А у директоров по безопасности как правило есть хорошие связи с siloviki (их собственно за это и держат). Особенно если контора с выходом на оборонку или что-нибудь типа банка, или соцсети.

Кто вынесет? Все те же ребятки в форме :)
Кто их направит? Их направит их руководство.
Откуда руководство возьмет основания? Да все оттуда же - от факта, что контора с выходом на оборонку, финансы, СМИ etc.

ТС не сказал, что у него за контора, но надо сказать, абы какие конторы не проверяют, откуда чел пришел, да и С-Терра вовсе не простой подукт :)

[AlexVWill]

CityCat4,

А у директоров по безопасности как правило есть хорошие связи с siloviki (их собственно за это и держат).

Это все фантазии, не имеющие никакого отношения к реальности.
Чтобы послать куда то СОБР вынести кому то дверь - для этого недостаточно звонка начальника службы СБ каким то "силовикам", статью 286 еще никто не отменил, да и смысла в этом нет никакого т.к. главный "подозреваемый" находится за пределами РФ.

Ты просто не знаешь, какую тонну писанины надо будет потом написать, сколько рапортов если отряд куда то выехал, тем более применил спецсредства. Не надо писать, пожалуйста, то, о чем не имеешь никакого представления.
А то, о чем мы говорим даже правонарушением не является, не говоря уж об уголовном преступлении. В любом случае отдел кадров совместно с СБ постарается сначала решить этот вопрос внутри компании.

[CityCat4]

Это все фантазии, не имеющие никакого отношения к реальности.

Возможно. А возможно и нет :) Если этого не происходило с тобой - это не значит, что это невозможно. (А я например, знаю, что это возможно :) )

Чтобы послать куда то СОБР вынести кому то дверь

Да вовсе не обзятельно СОБР :) Есть и другие...

Не надо писать, пожалуйста, то, о чем не имеешь никакого представления.

Ох уж эта уверенность! Представь себе, имею некоторое представление...

В любом случае отдел кадров совместно с СБ постарается сначала решить этот вопрос внутри компании.

Это разумеется. Все прочее - это уже крайние меры. Разумеется, сначала будут стараться обойтись без шума и пыли, а просто урегулировать вопрос "либо чел возвращается в РФ, либо увольнение и замена другим". Конечно, никому не нужен скандал, тут я с тобой совершенно согласен.

Answer 4

[Griboks]

Арендовать ру сервер, настроить туннель до него, а затем завернуть (обычно это делают с помощью маршрутов) рабочий туннель через ру туннель. Также будет не лишним добавить ttl к рабочему туннель, а работать с виртуалки в ру часовом поясе и геолокации. Это не защитит вас полностью, но, скорее всего, админа будет тупо лень за вами следить.

Comments

[CityCat4]

Ага, только пул IP адресов российских хостингов пробивается на раз. ИБ просто забанит логин юзеру до тех пор, пока он не обьяснит, какого такого уха он логинится с VPS. Считать других (ментов, СБ) дураками - опасная ошибка.

[AntHTML]

CityCat4, помимо пула IP в ТЗ присутствует С-Терра. Т.е. не какой-то там openvpn/anyconnect а ГОСТ-шифратор, у них централизованная управляйка проблемы с каналом палит еще быстрее.
Ну и еще раз, стеру, в качестве vpn, просто так не юзают чтобы "скорее всего, админа будет тупо лень за вами следить" и "ИБ просто забанит логин юзеру до тех пор, пока он не обьяснит", тут вполне может дойти по привлечения "товарищей"

[CityCat4]

AntHTML, И я о том же, согласен на 100%. Я со С-Террой незнаком, но уже по описанию ясно, что там сертификаты ФСБ/ФСТЭК, а это автоматически означает, что контора непростая, выход на "товарищей" там есть однозначно.

Answer 5

[Quqas]

для начала сам пойми и нам объясни что значит "работать из Эрэфии"?

т.е. удалённо таки можно? и как это происходит(ло)?

а после осознания - воспроизвести тоже самое но из-за бугра - в банальном случае и чтоб бесплатно на тутошний комп ставишь anydesk (etc) и повторяешь остальное как раньше

Answer 6

[Drno]

Покупаешь роутер с возможностью ВПНа.
Например кинетик или микротик.
Арендуешь VPS в РФ и ставишь туда ВПН
Подключаешься с роутер и пускаешь весь трафик внутрь ВПНа.
Ноут подключаешь к этому роутеру
Всё, профит

Comments

[CityCat4]

...Connection not established...

Начинаешь разбираться и нечаянно выясняешь, что доступ с IP публичных хостингов заблокирован...

[Drno]

CityCat4, за всё время "очень неприятной ситуации" пока такое не встречалось у моих "клиентов". даже в гос предприятиях

[CityCat4]

Drno, ну хорошо, что не встречалось. Но меня С-Терра смущает. Ее просто так не ставят. Тут что-то такое прям... серьезное...