آنچه اپراتور درون یک تونل VPN سلولی می‌بیند
حفاظت سلولی و VPN در مرزهای متفاوتی پایان می‌یابند. مشخص کنید اپراتور چه چیزی را می‌تواند مشاهده کند، چه چیزی را می‌تواند مختل کند و کجا نمی‌تواند دنبال کند.
یک اتصال سلولی که VPN را حمل می‌کند دو حفاظت مستقل دارد و تقریباً هر ادعای آشفته درباره حریم خصوصی موبایل از درهم‌آمیختن آنها ناشی می‌شود. شبکه رادیویی از دسترسی و سیگنالینگ خود محافظت می‌کند. کلاینت VPN یک دروازه را احراز هویت می‌کند و ترافیک به آن دروازه را محافظت می‌کند. هیچ‌کدام لایه دیگری نیست و اپراتور فقط به این دلیل که حفاظت دسترسی سلولی را پایان می‌دهد، همتای VPN نمی‌شود.
گام 1: هر دو رابطه را ترسیم کنید
در یک سو تلفن و شبکه موبایل است: ثبت‌نام، حامل‌های رادیویی و هر حفاظتی که استاندارد دسترسی تعیین می‌کند. در سوی دیگر کلاینت VPN و یک دروازه راه دور مشخص با احراز هویت و کلیدهای خودش قرار دارد.
نقاط پایانی متفاوت، مواد کلید متفاوت، شیوه‌های خرابی متفاوت. آنها را به‌صورت دو خط بکشید نه یک خط.
گام 2: علامت بزنید هر یک کجا پایان می‌یابد
در یک تونل IPsec به حالت تونل، کلاینت بسته درونی را در یک بسته IP بیرونی جدید می‌پیچد و شبکه آن سرآیند بیرونی را هدایت می‌کند. مشخصات ESP آن کپسوله‌سازی را مستقیماً توصیف می‌کند: بار محموله محافظت می‌شود و آدرس‌دهی بیرونی چیزی است که مسیر می‌بیند.
phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner trafficهیچ چیز در طول مسیر بار محموله را در یک گام مسیریابی‌شده رمزگشایی نمی‌کند. پردازش در نقطه پایانی پیکربندی‌شده رخ می‌دهد و به همین دلیل دو مرز حفاظت در یکی ادغام نمی‌شوند.
گام 3: فهرست کنید اپراتور هنوز چه کاری می‌تواند بکند
اپراتور دسترسی می‌تواند مقاصد بیرونی، زمان‌بندی و حجم را ببیند. همچنین می‌تواند تحویل را از طریق مسیریابی، فیلترکردن، افت یا قطع اتصال تحت تأثیر قرار دهد. بنابراین یک تونل کند یا ناموفق بدون هیچ رمزگشایی از محتوای آن کاملاً ممکن است. جهش‌های تأخیر و اتصال‌های مجدد اجباری در همان دسته قرار می‌گیرند.
مشاهده و اختلال توانایی‌های واقعی هستند. آنها همان توانایی خواندن بار محموله درونی نیستند.
گام 4: فرض‌ها را صادق نگه دارید
این نتیجه برای تونلی پشتیبانی‌شده و درست پیکربندی‌شده میان نقاط پایانی مورد اعتماد شما معتبر است. با تلفن به‌خطرافتاده، اعتبارنامه دزدیده‌شده، مجموعه رمز منسوخ یا دروازه‌ای که خودش بدخواه است دوام نمی‌آورد. همچنین هشدار غیرمنتظره گواهی را بی‌خطر نمی‌کند؛ آن را حادثه‌ای مستقل بدانید نه چیزی که با کلیک رد شود. هر یک از این‌ها یک فرض را می‌شکند نه رمزنگاری را.
حذف اعتبارسنجی همتا یا گواهی برای ناپدید شدن هشدار، رابطه حفاظتی را که به آن تکیه کرده بودید تغییر می‌دهد.
گام 5: داده را فراتر از دروازه دنبال کنید
حفاظت VPN در نقطه پایانی پیکربندی‌شده‌اش پایان می‌یابد. آنچه ترافیک بعد از آن انجام می‌دهد تنها با آنچه در آن لایه اجرا می‌شود محافظت می‌شود، و به همین دلیل یک نشست HTTPS به‌درستی اعتبارسنجی‌شده پس از تونل هم مهم است. متن واضحی که از دروازه به بعد فرستاده می‌شود ارزیابی خودش را لازم دارد.
این همان بخشی است که مردم وقتی تونل را پوشش‌دهنده کل مسیر توصیف می‌کنند فراموش می‌کنند.
گام 6: دامنه جریان‌هایی را که واقعاً محافظت می‌شوند مشخص کنید
خط‌مشی کلاینت را برای برنامه‌های مستثنی، تونل تقسیم‌شده و خانواده‌های آدرس بررسی کنید. یک برنامه مستثنی، یک خانواده آدرس رسیدگی‌نشده یا یک نشست قطع‌شده می‌توانند مسیری کاملاً دیگر را به کار ببرند و یک نماد وضعیت به شما نمی‌گوید کدام جریان کجا رفت.
این سابقه را به‌صورت چهار واقعیت بنویسید: شبکه دسترسی، نقطه پایانی احراز هویت‌شده VPN، نقطه پایانی برنامه و ترافیکی که واقعاً پوشش داده می‌شود. این سابقه حتی وقتی نمادها دروغ می‌گویند نیز درست می‌ماند.