Wat die netwerkverskaffer in ’n sellulêre VPN-tonnel sien

’n Sellulêre verbinding wat ’n VPN dra, het twee onafhanklike beskermings, en byna elke verwarde bewering oor mobiele privaatheid kom uit die vermenging daarvan. Die radionetwerk beskerm sy eie toegang en seinverkeer. Die VPN-kliënt verifieer ’n poort en beskerm verkeer na daardie poort. Nie een is ’n laag van die ander nie, en die netwerkverskaffer word nie die VPN-eweknie bloot omdat hy die sellulêre toegangsbeskerming beëindig nie.

Stap 1: teken albei verwantskappe

Aan die een kant is daar die selfoon en die mobiele netwerk: registrasie, radiodraers en watter beskerming die toegangsstandaard ook al bepaal. Aan die ander kant is daar die VPN-kliënt en ’n spesifieke afgeleë poort, met sy eie verifikasie en sy eie sleutels.

Verskillende eindpunte, verskillende sleutelmateriaal, verskillende foutmodusse. Teken hulle as twee lyne eerder as een.

Stap 2: merk waar elkeen eindig

Vir ’n IPsec-tonnel in tonnelmodus draai die kliënt die binneste pakket in ’n nuwe buitenste IP-pakket toe, en die netwerk stuur daardie buitenste kop verder. Die ESP-spesifikasie beskryf daardie inkapseling direk: die loonvrag is beskerm, die buitenste adressering is wat die pad sien.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Niks langs die pad ontsyfer die loonvrag by ’n gerouteerde hop nie. Verwerking vind by die gekonfigureerde eindpunt plaas, en daarom val die twee beskermingsgrense nie in een saam nie.

Stap 3: lys wat die netwerkverskaffer nog kan doen

’n Toegangsoperateur kan buitenste bestemmings, tydsberekening en volume sien. Hy kan ook aflewering beïnvloed deur roetering, filterering, verlies of ’n onderbroke verbinding. ’n Stadige of mislukte tonnel is dus heeltemal moontlik sonder enige ontsyfering van die inhoud. Latensiepieke en geforseerde herverbindings val in dieselfde kategorie.

Waarneming en ontwrigting is werklike vermoëns. Hulle is nie dieselfde vermoë as om die binneste loonvrag te lees nie.

Stap 4: hou die aannames eerlik

Die gevolgtrekking geld vir ’n ondersteunde, korrek gekonfigureerde tonnel tussen eindpunte wat jy vertrou. Dit oorleef nie ’n gekompromitteerde selfoon, gesteelde aanmeldgegewens, ’n verouderde syferstel of ’n poort wat self kwaadwillig is nie. Dit maak ook nie ’n onverwagte sertifikaatwaarskuwing onskadelik nie; behandel dit as sy eie voorval eerder as iets om weg te klik. Elkeen daarvan breek ’n aanname eerder as die kriptografie.

Om eweknie- of sertifikaatbevestiging te verwyder sodat ’n waarskuwing verdwyn, verander die beskermingsverhouding waarop jy gesteun het.

Stap 5: volg die data verby die poort

VPN-beskerming eindig by sy gekonfigureerde eindpunt. Wat die verkeer daarna doen, word net beskerm deur wat op daardie laag loop, en daarom bly ’n behoorlik bevestigde HTTPS-sessie steeds belangrik ná die tonnel. Duidelike teks wat van die poort af verder gestuur word, het sy eie beoordeling nodig.

Dit is die deel wat mense vergeet wanneer hulle ’n tonnel beskryf asof dit die hele pad dek.

Stap 6: bepaal die omvang van die strome wat werklik beskerm word

Kontroleer die kliëntbeleid vir uitgeslote toepassings, gesplete tonnelering en adresfamilies. ’n Uitgeslote toepassing, ’n onhanteerde adresfamilie of ’n ontkoppelde sessie kan heeltemal ’n ander pad gebruik, en ’n statusikoon sal jou nie vertel watter stroom waarheen gegaan het nie.

Skryf die rekord as vier feite: die toegangsnetwerk, die geverifieerde VPN-eindpunt, die toepassing-eindpunt en die verkeer wat werklik gedek word. Daardie rekord bly waar selfs wanneer die ikone lieg.