O que ve o operador dentro dun túnel VPN móbil

Unha conexión móbil que transporta unha VPN ten dúas proteccións independentes, e case toda afirmación confusa sobre a privacidade móbil nace de fundilas. A rede de radio protexe o seu propio acceso e a súa sinalización. O cliente VPN autentica unha pasarela e protexe o tráfico cara a ela. Ningunha é unha capa da outra, e o operador non se converte en par da VPN só porque remate a protección do acceso móbil.

Paso 1: debuxe ambas as relacións

Dunha banda están o teléfono e a rede móbil: rexistro, portadoras de radio e a protección que especifique o estándar de acceso. Doutra están o cliente VPN e unha pasarela remota concreta, coa súa propia autenticación e as súas propias claves.

Extremos distintos, material de clave distinto, modos de fallo distintos. Debúxeos como dúas liñas e non como unha.

Paso 2: marque onde remata cada unha

Nun túnel IPsec en modo túnel, o cliente envolve o paquete interno nun novo paquete IP externo, e a rede reenvía esa cabeceira externa. A especificación de ESP describe esa encapsulación directamente: a carga útil está protexida e o enderezo externo é o que ve a ruta.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Nada ao longo da ruta descifra a carga útil nun salto encamiñado. O procesamento ocorre no extremo configurado, e por iso as dúas fronteiras de protección non se funden nunha.

Paso 3: enumere o que aínda pode facer o operador

Un operador de acceso ve destinos externos, tempos e volume. Tamén pode afectar a entrega mediante encamiñamento, filtrado, perda ou unha conexión cortada. Por iso un túnel lento ou fallido é totalmente posible sen ningún descifrado do seu contido. Os picos de latencia e as reconexións forzadas pertencen á mesma categoría.

A observación e a interrupción son capacidades reais. Non son a mesma capacidade que ler a carga útil interna.

Paso 4: manteña honestos os supostos

A conclusión vale para un túnel compatible e ben configurado entre extremos de confianza. Non sobrevive a un teléfono comprometido, a credenciais roubadas, a un conxunto de cifrado obsoleto nin a unha pasarela que sexa ela mesma maliciosa. Tampouco fai inofensivo un aviso de certificado inesperado; tráteo como un incidente propio e non como algo que se descarta cun clic. Cada un deses elementos rompe un suposto, non a criptografía.

Quitar a validación do par ou do certificado para que un aviso desapareza cambia a relación de protección na que confiaba.

Paso 5: siga os datos máis alá da pasarela

A protección VPN remata no seu extremo configurado. O que o tráfico faga despois só o protexe o que se execute nesa capa, e por iso unha sesión HTTPS ben validada segue a importar despois do túnel. O texto claro que sae da pasarela necesita a súa propia avaliación.

Esta é a parte que a xente esquece cando describe un túnel como se cubrise toda a ruta.

Paso 6: delimite os fluxos que realmente están protexidos

Revise a política do cliente para aplicacións excluídas, túnel dividido e familias de enderezos. Unha aplicación excluída, unha familia de enderezos non xestionada ou unha sesión desconectada poden usar unha ruta completamente distinta, e unha icona de estado non lle dirá que fluxo foi a onde.

Escriba o rexistro como catro feitos: a rede de acceso, o extremo VPN autenticado, o extremo da aplicación e o tráfico realmente cuberto. Ese rexistro segue sendo certo mesmo cando as iconas menten.