Што аператар бачыць унутры сотавага VPN-тунэля

Сотавае злучэнне, якое нясе VPN, мае дзве незалежныя аховы, і амаль усе блытаныя сцвярджэнні пра мабільную прыватнасць паходзяць з іх змешвання. Радыёсетка ахоўвае свой доступ і сігналізацыю. Кліент VPN аўтэнтыфікуе шлюз і ахоўвае трафік да гэтага шлюза. Ні адно з іх не з’яўляецца ўзроўнем другога, і аператар не робіцца партнёрам VPN толькі таму, што ён завяршае ахову сотавага доступу.

Крок 1: намалюйце абедзве сувязі

З аднаго боку — тэлефон і мабільная сетка: рэгістрацыя, радыёносьбіты і тая ахова, якую прадугледжвае стандарт доступу. З другога — кліент VPN і пэўны аддалены шлюз з уласнай аўтэнтыфікацыяй і ўласнымі ключамі.

Розныя канчатковыя пункты, розны ключавы матэрыял, розныя рэжымы адмоў. Малюйце іх як дзве лініі, а не адну.

Крок 2: пазначце, дзе кожная сканчаецца

У рэжыме тунэля IPsec кліент загортвае ўнутраны пакет у новы знешні IP-пакет, і сетка перадае гэты знешні загаловак. Спецыфікацыя ESP апісвае такое інкапсуляванне напрамую: карысная нагрузка ахоўваецца, а знешняя адрасацыя — гэта тое, што бачыць шлях.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Нішто на шляху не расшыфроўвае нагрузку на маршрутызаваным звяне. Апрацоўка адбываецца на наладжаным канчатковым пункце, таму дзве мяжы аховы не зліваюцца ў адну.

Крок 3: пералічыце, што аператар усё яшчэ можа

Аператар доступу бачыць знешнія прызначэнні, час і аб’ём. Ён таксама можа ўплываць на дастаўку праз маршрутызацыю, фільтраванне, страты або разарванае злучэнне. Таму павольны або няўдалы тунэль цалкам магчымы без якога-небудзь расшыфравання яго змесціва. Усплёскі затрымкі і прымусовыя перападлучэнні адносяцца да той жа катэгорыі.

Назіранне і парушэнне — рэальныя магчымасці. Яны не тое самае, што чытанне ўнутранай нагрузкі.

Крок 4: трымайце здагадкі сумленнымі

Выснова справядлівая для падтрыманага, слушна наладжанага тунэля паміж канчатковымі пунктамі, якім вы давяраеце. Яна не вытрымлівае скампраметаванага тэлефона, украдзеных уліковых даных, састарэлага набору шыфраў або шлюза, які сам зламысны. Яна таксама не робіць нечаканае папярэджанне пра сертыфікат бясшкодным; стаўцеся да яго як да асобнага інцыдэнту, а не да таго, што трэба прапусціць. Кожнае з гэтага ламае здагадку, а не крыптаграфію.

Выдаленне праверкі партнёра або сертыфіката, каб папярэджанне знікла, змяняе адносіны аховы, на якія вы разлічвалі.

Крок 5: прасачыце даныя за шлюзам

Ахова VPN сканчаецца на яе наладжаным канчатковым пункце. Тое, што робіць трафік далей, ахоўваецца толькі тым, што працуе на гэтым узроўні, таму слушна правераная сесія HTTPS па-ранейшаму важная пасля тунэля. Адкрыты тэкст, адпраўлены далей са шлюза, патрабуе ўласнай ацэнкі.

Менавіта гэтую частку забываюць, калі апісваюць тунэль як такі, што пакрывае ўвесь шлях.

Крок 6: вызначце межы патокаў, якія сапраўды ахоўваюцца

Праверце палітыку кліента на выключаныя праграмы, раздвоенае тунеляванне і сямействы адрасоў. Выключаная праграма, неапрацаванае сямейства адрасоў або адключаная сесія могуць выкарыстоўваць цалкам іншы шлях, і значок стану не скажа, які паток куды пайшоў.

Запішыце запіс як чатыры факты: сетка доступу, аўтэнтыфікаваны канчатковы пункт VPN, канчатковы пункт праграмы і трафік, які сапраўды ахоплены. Гэты запіс застаецца праўдзівым, нават калі значкі хлусяць.