Ko operators redz mobilā VPN tuneļa iekšienē

Mobilam savienojumam, kas pārvadā VPN, ir divas neatkarīgas aizsardzības, un gandrīz katrs juceklīgais apgalvojums par mobilo privātumu rodas no to sapludināšanas. Radio tīkls aizsargā savu piekļuvi un signalizāciju. VPN klients autentificē vārteju un aizsargā datplūsmu uz šo vārteju. Neviens nav otra slānis, un operators nekļūst par VPN partneri tikai tāpēc, ka tas izbeidz mobilās piekļuves aizsardzību.

1. solis: uzzīmējiet abas attiecības

Vienā pusē ir tālrunis un mobilais tīkls: reģistrācija, radio nesēji un aizsardzība, ko nosaka piekļuves standarts. Otrā pusē ir VPN klients un konkrēta attāla vārteja ar savu autentifikāciju un savām atslēgām.

Dažādi galapunkti, dažāds atslēgu materiāls, dažādi atteices režīmi. Zīmējiet tos kā divas līnijas, nevis vienu.

2. solis: atzīmējiet, kur katrs beidzas

Tuneļa režīma IPsec tunelī klients iesaiņo iekšējo paketi jaunā ārējā IP paketē, un tīkls pārsūta šo ārējo galveni. ESP specifikācija tieši apraksta šo iekapsulēšanu: lietderīgā slodze ir aizsargāta, un ārējā adresācija ir tas, ko redz ceļš.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Nekas ceļā neatšifrē lietderīgo slodzi maršrutētā lēcienā. Apstrāde notiek konfigurētajā galapunktā, un tāpēc abas aizsardzības robežas nesaplūst vienā.

3. solis: uzskaitiet, ko operators vēl var darīt

Piekļuves operators var redzēt ārējos galamērķus, laiku un apjomu. Tas var arī ietekmēt piegādi ar maršrutēšanu, filtrēšanu, zudumu vai pārtrauktu savienojumu. Tāpēc lēns vai neizdevies tunelis ir pilnīgi iespējams bez jebkādas tā satura atšifrēšanas. Latences lēcieni un piespiedu atkārtoti savienojumi ietilpst tajā pašā kategorijā.

Novērošana un traucēšana ir reālas spējas. Tās nav tā pati spēja kā iekšējās lietderīgās slodzes lasīšana.

4. solis: turiet pieņēmumus godīgus

Secinājums ir spēkā atbalstītam, pareizi konfigurētam tunelim starp galapunktiem, kuriem jūs uzticaties. Tas neiztur apdraudētu tālruni, nozagtus akreditācijas datus, novecojušu šifru kopu vai vārteju, kas pati ir ļaunprātīga. Tas arī nepadara negaidītu sertifikāta brīdinājumu nekaitīgu; izturieties pret to kā pret atsevišķu incidentu, nevis kā pret kaut ko, ko var noklikšķināt. Katrs no tiem salauž pieņēmumu, nevis kriptogrāfiju.

Partnera vai sertifikāta validācijas noņemšana, lai brīdinājums pazustu, maina aizsardzības attiecības, uz kurām jūs paļāvāties.

5. solis: sekojiet datiem aiz vārtejas

VPN aizsardzība beidzas tās konfigurētajā galapunktā. To, ko datplūsma dara tālāk, aizsargā tikai tas, kas darbojas šajā slānī, un tāpēc pareizi validēta HTTPS sesija joprojām ir svarīga arī pēc tuneļa. Atklātais teksts, kas tiek sūtīts tālāk no vārtejas, prasa savu novērtējumu.

Šī ir tā daļa, ko cilvēki aizmirst, kad tuneli raksturo kā visu ceļu nosedzošu.

6. solis: noteikt faktiski aizsargāto plūsmu apjomu

Pārbaudiet klienta politiku attiecībā uz izslēgtām lietotnēm, sadalītu tunelēšanu un adrešu saimēm. Izslēgta lietotne, neapstrādāta adrešu saime vai atvienota sesija var izmantot pavisam citu ceļu, un statusa ikona nepateiks, kura plūsma kur aizgāja.

Ierakstiet ierakstu kā četrus faktus: piekļuves tīkls, autentificētais VPN galapunkts, lietotnes galapunkts un faktiski aizsargātā datplūsma. Šis ieraksts paliek patiess arī tad, kad ikonas melo.