Beth mae’r gweithredwr yn ei weld y tu mewn i dwnnel VPN symudol

Mae gan gysylltiad symudol sy’n cario VPN ddau amddiffyniad annibynnol, ac mae bron pob honiad dryslyd am breifatrwydd symudol yn deillio o’u huno. Mae’r rhwydwaith radio yn amddiffyn ei fynediad a’i signalau ei hun. Mae’r cleient VPN yn dilysu porth ac yn amddiffyn traffig i’r porth hwnnw. Nid yw’r naill yn haen o’r llall, ac nid yw’r gweithredwr yn dod yn bartner VPN dim ond oherwydd ei fod yn terfynu amddiffyniad mynediad symudol.

Cam 1: tynnwch y ddau berthynas

Ar un ochr mae’r ffôn a’r rhwydwaith symudol: cofrestru, cludwyr radio a’r amddiffyniad y mae’r safon fynediad yn ei nodi. Ar yr ochr arall mae’r cleient VPN a phorth penodol o bell, gyda’i ddilysiad a’i allweddi ei hun.

Gwahanol bwyntiau terfyn, gwahanol ddeunydd allwedd, gwahanol foddau methu. Tynnwch nhw fel dwy linell yn hytrach nag un.

Cam 2: nodwch ble mae pob un yn gorffen

Mewn twnnel IPsec yn y modd twnnel, mae’r cleient yn lapio’r pecyn mewnol mewn pecyn IP allanol newydd, ac mae’r rhwydwaith yn anfon y pennawd allanol hwnnw ymlaen. Mae manyleb ESP yn disgrifio’r ymgorffori hwnnw’n uniongyrchol: mae’r llwyth yn cael ei amddiffyn, a’r cyfeiriadu allanol yw’r hyn y mae’r llwybr yn ei weld.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Nid oes dim ar hyd y llwybr yn dadgryptio’r llwyth mewn naid wedi’i lwybro. Mae’r prosesu’n digwydd yn y pwynt terfyn a ffurfweddwyd, a dyna pam nad yw’r ddwy ffin amddiffyn yn cydgyfuno’n un.

Cam 3: rhestrwch beth all y gweithredwr ei wneud o hyd

Gall gweithredwr mynediad weld cyrchfannau allanol, amseru a chyfaint. Gall hefyd effeithio ar ddosbarthu drwy lwybro, hidlo, colled neu gysylltiad wedi torri. Felly mae twnnel araf neu aflwyddiannus yn gwbl bosibl heb unrhyw ddadgryptio o’i gynnwys. Mae pigau oedi ac ailgysylltu gorfodol yn yr un categori.

Mae arsylwi ac amharu yn alluoedd go iawn. Nid ydynt yr un allu â darllen y llwyth mewnol.

Cam 4: cadwch y rhagdybiaethau’n onest

Mae’r casgliad yn dal ar gyfer twnnel a gefnogir ac a ffurfweddir yn gywir rhwng pwyntiau terfyn rydych yn ymddiried ynddynt. Nid yw’n goroesi ffôn wedi’i beryglu, manylion mewngofnodi wedi’u dwyn, cyfres seiffr hen ffasiwn na phorth sy’n un ei hun yn faleisus. Nid yw chwaith yn gwneud rhybudd tystysgrif annisgwyl yn ddiniwed; tritiwch ef fel digwyddiad ar ei ben ei hun yn hytrach na rhywbeth i’w glonio heibio. Mae pob un o’r rhain yn torri rhagdybiaeth yn hytrach na’r cryptograffeg.

Mae tynnu dilysu cymar neu dystysgrif fel bo rhybudd yn diflannu yn newid y berthynas amddiffyn yr oeddech yn dibynnu arni.

Cam 5: dilynwch y data y tu hwnt i’r porth

Mae amddiffyniad VPN yn gorffen yn ei bwynt terfyn a ffurfweddwyd. Dim ond yr hyn sy’n rhedeg ar y haen honno sy’n amddiffyn yr hyn y mae’r traffig yn ei wneud nesaf, a dyna pam mae sesiwn HTTPS wedi’i dilysu’n briodol yn dal yn bwysig ar ôl y twnnel. Mae angen asesiad ei hun ar destun clir a anfonir ymlaen o’r porth.

Dyma’r rhan y mae pobl yn ei hanghofio pan fyddant yn disgrifio twnnel fel un sy’n gorchuddio’r llwybr cyfan.

Cam 6: cwmpaswch y llifoedd sy’n cael eu hamddiffyn mewn gwirionedd

Gwiriwch bolisi’r cleient ar gyfer apiau wedi’u heithrio, twnelu hollt a theuluoedd cyfeiriadau. Gall ap wedi’i eithrio, teulu cyfeiriadau heb ei drin neu sesiwn wedi’i datgysylltu ddefnyddio llwybr hollol wahanol, ac ni fydd eicon statws yn dweud wrthych pa lif a aeth i ble.

Ysgrifennwch y cofnod fel pedwar ffaith: y rhwydwaith mynediad, y pwynt terfyn VPN dilys, pwynt terfyn y rhaglen a’r traffig a gwmpesir mewn gwirionedd. Mae’r cofnod hwnnw’n parhau’n wir hyd yn oed pan fydd yr eiconau’n dweud celwydd.