Оператор ұялы VPN туннелінің ішінде нені көреді

VPN тасымалдайтын ұялы байланыстың екі тәуелсіз қорғанысы бар, және мобильді жекелік туралы шатасқан тұжырымдардың барлығы дерлік оларды біріктіруден туындайды. Радио желі өзінің қатынауын және сигнализациясын қорғайды. VPN клиенті шлюзді аутентификациялайды және сол шлюзге дейінгі трафикті қорғайды. Ешқайсысы екіншісінің қабаты емес, және оператор ұялы қатынау қорғанысын аяқтағаны үшін ғана VPN серіктесіне айналмайды.

1-қадам: екі байланысты да сызыңыз

Бір жағында телефон мен мобильді желі бар: тіркелу, радио тасымалдағыштар және қатынау стандарты белгілейтін қорғаныс. Екінші жағында VPN клиенті мен нақты қашықтағы шлюз, өз аутентификациясымен және өз кілттерімен.

Әртүрлі шеткі нүктелер, әртүрлі кілт материалы, әртүрлі істен шығу режимдері. Оларды бір емес, екі сызық ретінде салыңыз.

2-қадам: әрқайсысы қайда аяқталатынын белгілеңіз

Туннель режиміндегі IPsec туннелінде клиент ішкі пакетті жаңа сыртқы IP пакетке орап, желі сол сыртқы тақырыпшаны жібереді. ESP ерекшелігі сол капсулалауды тікелей сипаттайды: пайдалы жүктеме қорғалған, ал сыртқы адрестеу – жол көретін нәрсе.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Жол бойында ешнәрсе маршрутталған секірісте жүктемені шифрдан шығармайды. Өңдеу конфигурацияланған шеткі нүктеде жүреді, сондықтан екі қорғаныс шекарасы бірігіп кетпейді.

3-қадам: оператор әлі не істей алатынын тізіңіз

Қатынау операторы сыртқы межелерді, уақытты және көлемді көре алады. Ол маршруттау, сүзу, жоғалту немесе үзілген байланыс арқылы жеткізуге де әсер ете алады. Сондықтан баяу немесе сәтсіз туннель оның мазмұнын ешбір шифрдан шығармай-ақ толық мүмкін. Кідіріс секірулері және мәжбүрлі қайта қосылулар сол санатқа жатады.

Бақылау мен бұзу – нақты мүмкіндіктер. Олар ішкі жүктемені оқу мүмкіндігі емес.

4-қадам: болжамдарды адал ұстаңыз

Қорытынды сіз сенетін шеткі нүктелер арасындағы қолдау көрсетілген, дұрыс конфигурацияланған туннель үшін жарамды. Ол бұзылған телефонмен, ұрланған тіркелгі деректерімен, ескірген шифр жиынтығымен немесе өзі зиянды шлюзбен төтеп бермейді. Ол күтпеген сертификат ескертуін де қауіпсіз етпейді; оны басып өтетін нәрсе емес, жеке оқиға ретінде қарастырыңыз. Осылардың әрқайсысы криптографияны емес, болжамды бұзады.

Ескерту жоғалуы үшін серіктесті немесе сертификатты тексеруді алып тастау сіз сүйенген қорғаныс қатынасын өзгертеді.

5-қадам: деректерді шлюзден әрі қарай қадағалаңыз

VPN қорғанысы өзінің конфигурацияланған шеткі нүктесінде аяқталады. Трафик одан кейін не істейтінін тек сол қабатта жұмыс істейтін нәрсе қорғайды, сондықтан дұрыс тексерілген HTTPS сессиясы туннельден кейін де маңызды. Шлюзден әрі жіберілетін ашық мәтін өз бағасын қажет етеді.

Туннельді бүкіл жолды жабатын нәрсе деп сипаттағанда адамдар осы бөлікті ұмытады.

6-қадам: шын мәнінде қорғалған ағындардың ауқымын анықтаңыз

Клиент саясатын шығарылған қолданбалар, бөлінген туннель және мекенжай отбасылары бойынша тексеріңіз. Шығарылған қолданба, өңделмеген мекенжай отбасы немесе ажыратылған сессия мүлде басқа жолды пайдалануы мүмкін, ал күй белгісі қай ағын қайда кеткенін айтпайды.

Жазбаны төрт факт ретінде жазыңыз: қатынау желісі, аутентификацияланған VPN шеткі нүктесі, қолданбаның шеткі нүктесі және шын мәнінде қамтылған трафик. Бұл жазба белгілер өтірік айтқанда да шынайы болып қалады.