Какво вижда операторът вътре в клетъчния VPN тунел

Клетъчната връзка, която пренася VPN, има две независими защити и почти всяко объркано твърдение за мобилната поверителност идва от смесването им. Радиомрежата защитава собствения си достъп и сигнализация. VPN клиентът удостоверява шлюз и защитава трафика към този шлюз. Нито една от двете не е слой на другата и операторът не става VPN партньор само защото прекратява клетъчната защита на достъпа.

Стъпка 1: начертайте двете връзки

От една страна са телефонът и мобилната мрежа: регистрация, радиопреносители и защитата, която стандартът за достъп определя. От друга страна са VPN клиентът и конкретен отдалечен шлюз със собствена автентикация и собствени ключове.

Различни крайни точки, различен ключов материал, различни режими на отказ. Начертайте ги като две линии, а не като една.

Стъпка 2: отбележете къде завършва всяка

При IPsec тунел в режим тунел клиентът обвива вътрешния пакет в нов външен IP пакет и мрежата препраща този външен заглавен блок. Спецификацията на ESP описва това капсулиране директно: полезният товар е защитен, а външната адресация е това, което вижда пътят.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Нищо по пътя не дешифрира полезния товар на маршрутизиран хоп. Обработката се извършва в конфигурираната крайна точка и затова двете граници на защита не се сливат в една.

Стъпка 3: избройте какво операторът все още може

Операторът на достъп вижда външните дестинации, времето и обема. Той може също да влияе на доставянето чрез маршрутизация, филтриране, загуба или прекъсната връзка. Затова бавен или неуспешен тунел е напълно възможен без никакво дешифриране на съдържанието. Скокове в закъснението и принудителни повторни свързвания попадат в същата категория.

Наблюдението и нарушаването са реални възможности. Те не са същата възможност като четенето на вътрешния полезен товар.

Стъпка 4: дръжте допусканията честни

Изводът е валиден за поддържан и правилно конфигуриран тунел между крайни точки, на които имате доверие. Той не оцелява при компрометиран телефон, откраднати идентификационни данни, остарял набор от шифри или шлюз, който сам по себе си е злонамерен. Той също не прави неочаквано предупреждение за сертификат безобидно; третирайте го като отделен инцидент, а не като нещо за пропускане. Всяко от тези нарушава допускане, а не криптографията.

Премахването на проверката на партньора или сертификата, за да изчезне предупреждението, променя защитната връзка, на която сте разчитали.

Стъпка 5: проследете данните отвъд шлюза

VPN защитата завършва в конфигурираната й крайна точка. Това, което трафикът прави след това, е защитено само от онова, което работи на този слой, затова правилно валидирана HTTPS сесия все още е важна след тунела. Откритият текст, изпратен нататък от шлюза, се нуждае от собствена оценка.

Това е частта, която хората забравят, когато описват тунела като покриващ целия път.

Стъпка 6: очертайте потоците, които действително са защитени

Проверете клиентската политика за изключени приложения, разделено тунелиране и семейства адреси. Изключено приложение, необработено семейство адреси или прекъсната сесия могат да използват напълно друг път и иконата за състояние няма да ви каже кой поток накъде е отишъл.

Запишете записа като четири факта: мрежата за достъп, удостоверената VPN крайна точка, крайната точка на приложението и трафикът, който действително е обхванат. Този запис остава верен дори когато иконите лъжат.