John Wyatt
За последние три года все большее количество стран включили удаленных работников в свои визовые системы. Португалия запустила визу D8 в 2022 году. Испания открыла визу для цифровых кочевников в начале 2023 года в рамках своего Закона о стартапах. 2024 год принес волну новых программ: Япония представила шестимесячную визу для цифровых кочевников в марте, Индонезия открыла визу E33G для удаленных работников в апреле, виза для цифровых кочевников Италии вступила в силу в том же месяце, а DTV Таиланда заработала 15 июля, выданная на пять лет с пребыванием до 180 дней за въезд.
Эти политики говорят одно и то же разными словами: вы можете жить в Лиссабоне, Чиангмае, Фукуоке или на Бали и работать на компанию, основанную в Сан-Франциско, Сингапуре или Берлине, легально.
Виза устанавливает ваше право находиться там. Она не решает другую половину проблемы: ваша сетевое удостоверение все еще находится в неправильной стране.
И большинство удаленных работ теперь осуществляется через сторонние платформы так же, как и через инструменты компании. Instagram, Amazon Seller Central, Google Ads. Эти платформы ограничивают доступ гораздо более агрессивно, чем системы вашей компании.
01 Шесть месяцев в Лиссабоне
Первые две недели
Она занималась ростом для американского DTC бренда: Instagram, YouTube канал, аккаунт продавца на Amazon и расходы на рекламу в Meta и Google, все сама. Она переехала в Лиссабон по визе D8 и поселилась рядом с Альфамой.
Первые две недели прошли хорошо. Утром было тихо, непрерывное время для контента и аналитики. После обеда совпадало с головным офисом, поэтому встречи собирались в вечернее время. Производительность была выше, чем в офисе в США.
Легкая проблема
Начиная с третьей недели, Okta запрашивала второй фактор раз в день, иногда дважды. Slack отключал ее на ночь. Внутренний дашборд иногда выдавал 403.
Тайминг не был случайным. Политика обнаружения аномалий Microsoft проводит семидневный период обучения для создания модели нормальной активности пользователя. В течение первых двух недель система все еще собирала эту базу. Трение началось, как только она была установлена.
В то время она предполагала, что это проблема сети. Она обновила широкополосный интернет в квартире, купила членство в коворкинге, достигла 300 Мбит/с на тесте скорости. Ничего не изменилось. Она потратила недели на исправление проблемы со скоростью, а проблема никогда не была в скорости.
На седьмой неделе, в среду, ее руководитель IT написал ей напрямую:
Ваш аккаунт вызвал сигнал о невозможном путешествии. Где вы сейчас?
Она сказала ему правду: Лиссабон, по визе D8, HR уже в курсе.
Его ответ не был тем, что она ожидала. Компании не было важно, где она живет. Контракт и налоговая структура уже были улажены. То, что его волновало, было чем-то другим:
Вы входите из нового адреса каждый день. Я не могу внести что-то, что продолжает меняться. Дайте мне один фиксированный адрес, я добавлю его как доверенное местоположение, и это будет сделано.
Через неделю у нее был один, и IT добавили его как именованное местоположение и отметили как доверенное. Сторона компании этого вопроса была решена быстрее, чем она ожидала.
Оказалось, что это была самая легкая из четырех проблем. На другом конце был кто-то, кто действительно мог с этим что-то сделать.
Некому позвонить
Ничего после этого не имело службы поддержки.
Instagram. Аккаунт бренда, более двухсот тысяч подписчиков. Вход из Лиссабона вызвал проверку личности. График публикаций пропал на день и полтора, и контент, запланированный на эту неделю, с ним соскользнул. Платформа логирует местоположение и устройство за каждым входом и оценивает аккаунт по этой истории.
YouTube и Google Ads. Дашборд канала продолжал просить ее повторно подтвердить. Рекламный аккаунт был помечен как риск безопасности. Двухчасовая приостановка рекламного аккаунта — это не формальность; это расходы, которых никогда не было.
Amazon Seller Central. Худший из трех. Вход из нового местоположения поставил аккаунт на проверку. Любой, кто управлял аккаунтом продавца, знает, что это значит: это напрямую влияет на денежный поток, и никто не знает, сколько времени займет апелляция. В течение нескольких дней проверка почты была первым делом, что она делала каждое утро.
Только собственная система компании имела человека, прикрепленного к ней.
Неправильное решение
Она купила годовой план у известного VPN и заблокировала его на сервере в США.
Проверки личности в Instagram стали более частыми, а не менее. Дашборд Amazon требовал, чтобы она снова вошла в систему. Google просто отклонил одну попытку входа.
Причина заключалась в выходном IP. Этот VPN маршрутизировался через адрес дата-центра, и его записи whois и ASN показывали регистрацию хостинга. Для этих платформ вход из блока дата-центра воспринимается как более подозрительный, чем из португальского домашнего широкополосного интернета, потому что домашний широкополосный интернет хотя бы выглядит как реальный пользователь, а адрес дата-центра однозначно не является таковым. Выход также менялся при каждом переподключении, с сотнями других людей за одним и тем же адресом в любой момент времени.
Она исправила страну и сломала что-то еще хуже на ее месте.
Что действительно сработало
Она переключилась на Surflare residential IP: фиксированный, выделенный адрес, зарегистрированный у американского домашнего интернет-провайдера, работающий как на ноутбуке, так и на телефоне.
Instagram и YouTube перестали запрашивать подтверждение. История входа в Amazon стабилизировалась на одном американском адресе, день за днем. Google Ads снял флаг безопасности. Она перенесла белый список компании на тот же адрес, и IT не пришлось ничего трогать, потому что единственное, что им было важно, это то, чтобы он оставался фиксированным.
Теперь она ничего не делает до начала рабочего дня. Приложение уже подключено.
02 Что на самом деле проверяют внешние платформы
Сторона компании уже решена выше. Ей нужен был только адрес, который не движется, потому что белый список может содержать только фиксированные записи. Ограничение доступа по стране не является скрытой настройкой; это стандартная функция у основных поставщиков идентификации. Okta делает это через динамические зоны, а Microsoft Entra ID блокирует по местоположению через Условный доступ. Администратор устанавливает разрешенные страны, и все, что находится за пределами этого диапазона, блокируется или ставится под сомнение.
Логика невозможного путешествия изложена в документации Microsoft: две активности на одном аккаунте, из местоположений, слишком далеко друг от друга, за меньшее время, чем на самом деле потребовалось бы для путешествия между ними. Местоположение рассчитывается на уровне страны или региона, поэтому активность в одной стране или между соседними странами не вызовет срабатывания. Лос-Анджелес до Лиссабона вызовет.
Более жесткий лимит находится на другой стороне. Instagram, Amazon Seller Central, Google Ads, брокерские компании, банки: ни у кого из них нет администратора, который мог бы сделать исключение для одного аккаунта. Звонок исходит от оценки риска.
Эта оценка основывается на двух сигналах: в какой стране находится IP и как он зарегистрирован.
Второй сигнал — это то, что большинство людей упускает. Платформы выполняют запросы whois и ASN и могут точно увидеть, на кого зарегистрирован адрес. Адрес, зарегистрированный на провайдере хостинга, является жестким негативным сигналом, потому что реальные пользователи, как правило, не подключаются через дата-центр. Именно поэтому VPN в приведенной выше истории сработал против нее: он исправил страну и ошибся с типом регистрации, а тип регистрации имеет большее значение в этих системах, чем страна.
Финансовые учреждения несут обязательства KYC, что повышает ставки. Среди задокументированных причин, по которым американские брокерские компании и банки ограничивают или закрывают счета для клиентов, живущих за границей, — это устойчивый паттерн входов из иностранного IP, согласно как Creative Planning, так и статье Forbes Finance Council. Учреждения делают вывод о переезде за границу на основе поведения входа, а затем ограничивают или замораживают счет, без вопросов.
Вот почему квалифицирующий адрес должен иметь четыре вещи одновременно: фиксированный, выделенный, зарегистрированный на жилое помещение и находящийся в стране вашей компании. Уберите любую из них, и вы вернетесь к одной из сцен выше.
03 Два условия, а не одно
Жилой IP зарегистрирован у жилого интернет-провайдера, поэтому запросы whois и ASN возвращают провайдера домашнего широкополосного интернета, а не хостинговую компанию. Физически большинство из этих адресов все еще работает на инфраструктуре дата-центра: жилая регистрация, оборудование дата-центра. Это стоит сказать прямо, потому что это именно суть. Системы оценки риска платформы оценивают адрес в основном по типу регистрации, а хостинг в дата-центре обеспечивает скорость и время безотказной работы, которые домашняя линия не может обеспечить. Адрес выделен, поэтому никто другой не стоит за ним, пока вы работаете. Он статичен: тот же адрес в июне и декабре, из коворкинга или гостиничного номера.
Второе условие — это удобство использования.
Проверки личности чаще всего приходят на телефон: верификация в Instagram, повторный вход в Amazon, двухфакторный запрос от банка или брокерской компании. Жилой прокси создан для программного обеспечения, а не для людей. Это означает загрузку IP и порта в браузер с отпечатками или скрипт, одно приложение за раз, и это почти невозможно использовать на телефоне. Эта настройка имеет смысл для крупномасштабного сбора данных. Это не имеет смысла для кого-то, чья единственная цель — предотвратить пометку аккаунта продавца на Amazon.
Surflare предоставляет тот же тип адреса через само приложение. Выберите выделенный IP, нажмите подключить, и каждое приложение на устройстве маршрутизируется через него: браузер, Slack, Instagram и любой запрос на верификацию, который появится на телефоне. macOS, Windows, iOS и Android работают одинаково.
Настройка — это настоящая стоимость здесь, а не ежемесячная цена.
| Жилой прокси | Жилой IP VPS | Surflare Residential IP | |
|---|---|---|---|
| Перед тем, как это сработает | Настройте каждое приложение индивидуально, обычно с помощью браузера с отпечатками | Создайте облачную машину, войдите через RDP, настройте окружение | Купите его, нажмите подключить в приложении, ничего больше |
| Покрытие | Только те приложения, которые вы настроили | Только то, что работает на этой удаленной машине | Каждое приложение на устройстве |
| Работает на телефоне | Едва | Нет | Да, тот же IP, что и на ноутбуке |
| Шифрование трафика | Не предоставляется протоколом прокси | Зависит от настройки | Полный зашифрованный туннель |
| Создан для | Автоматизации в большом масштабе | Непрерывных рабочих нагрузок, которые остаются онлайн | Человека, выполняющего свою работу |
04 Настройка
- Выберите страну компании, а не ближайший сервер. Работа на компанию из Сингапура в Бангкоке означает выбор Сингапура. Местный выход быстрее и ничего здесь не решает.
- Оставьте рабочий ноутбук подключенным в рабочие часы. Не выключайте его; вся суть в адресе, который никогда не движется.
- Используйте тот же IP на телефоне. Документация Microsoft явно указывает, что невозможное путешествие только прекращается, когда оба конца доверены, и одной недоверенной стороны достаточно, чтобы это вызвать. Ноутбук с американским адресом и телефон на местных мобильных данных — это именно тот сценарий, и это имеет большее значение, потому что проверки личности, как правило, приходят на телефон.
- Держите личные устройства отдельно и установите его на маршрутизатор для более длительного пребывания. Surflare устанавливается непосредственно на маршрутизатор, так что все в доме автоматически маршрутизируются через один и тот же адрес, включая устройства, которые не могут запустить приложение.
- Оставьте местные услуги на локальной сети. Банковские, курьерские и поездки в стране, в которой вы находитесь, работают лучше на локальном соединении.
05 Часто задаваемые вопросы
Если компании просто нужен белый список, почему бы не использовать более дешевый IP дата-центра?
Для системы компании это работает нормально. Ее система идентификации нуждается в адресе, который не движется и не заботится о том, как он зарегистрирован. Но работа редко остается внутри систем компании. Instagram, Amazon Seller Central, Google Ads и брокерские компании не имеют белого списка, который можно было бы добавить. Они оценивают по типу регистрации, и блок дата-центра является жестким негативом. Выход, использованный в первой попытке выше, был именно таким адресом, и это усугубило проблему.
Эти аккаунты принадлежат компании. Кто платит?
Стоит поднять этот вопрос непосредственно с компанией. Проверка на аккаунте бренда, приостановленный рекламный аккаунт, аккаунт продавца на проверке: эти потери лежат на стороне компании, а не на личных неудобствах. По сравнению с затратами на одну проверку аккаунта, ежемесячная плата за выделенный IP невелика, и большинство удаленных работников возмещают ее. Surflare может выставить счет за каждую плату, поэтому подача его на возмещение проста.
Разве соединение через континенты не будет заметно медленнее?
Межконтинентная задержка — это физический предел; ни один продукт не устраняет его. На практике два фактора смягчают его. Жилой IP работает на инфраструктуре дата-центра, поэтому линия сама по себе более стабильна, чем типичный домашний широкополосный интернет, а большинство рабочих трафиков (электронная почта, документы, дашборды, звонки) уже маршрутизируются через серверы в этом регионе. Держите местные услуги на локальном соединении, и разрыв будет меньше, чем кажется.
Я много перемещаюсь. Должен ли IP двигаться вместе со мной?
Нет, это противоречит смыслу. IP обозначает, где живет ваша рабочая идентичность, а не где вы находитесь. Вьетнам в марте, Грузия в мае, адрес остается в стране вашей компании все время.
Готовы использовать жилой IP в стране вашей компании?
Фиксированный адрес, зарегистрированный у жилого интернет-провайдера. Один и тот же IP на вашем ноутбуке и телефоне, одна история входа как для систем компании, так и для внешних платформ.
