Што гледа операторот внатре во клеточниот VPN тунел

Клеточната врска што носи VPN има две независни заштити, и речиси секое збунето тврдење за мобилната приватност произлегува од нивното мешање. Радио мрежата го штити сопствениот пристап и сигнализацијата. VPN клиентот автентицира портал и го штити сообраќајот до тој портал. Ниту едната не е слој на другата, и операторот не станува VPN партнер само затоа што ја завршува заштитата на клеточниот пристап.

Чекор 1: нацртајте ги двете врски

Од едната страна се телефонот и мобилната мрежа: регистрација, радио носачи и каква било заштита што ја пропишува стандардот за пристап. Од другата страна се VPN клиентот и одреден оддалечен портал, со сопствена автентикација и сопствени клучеви.

Различни крајни точки, различен клучен материјал, различни режими на откажување. Нацртајте ги како две линии наместо една.

Чекор 2: означете каде завршува секоја од нив

За IPsec тунел во тунелен режим, клиентот го завиткува внатрешниот пакет во нов надворешен IP пакет, а мрежата го препраќа тоа надворешно заглавие. Спецификацијата ESP го опишува тоа инкапсулирање директно: товарот е заштитен, а надворешното адресирање е она што го гледа патеката.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Ништо по патеката не го дешифрира товарот на рутиран хоп. Обработката се случува на конфигурираната крајна точка, поради што двете заштитни граници не се спојуваат во една.

Чекор 3: наведете што операторот сè уште може да прави

Операторот за пристап може да ги гледа надворешните одредишта, времето и обемот. Може и да влијае на доставата преку рутирање, филтрирање, загуба или прекината врска. Бавен или неуспешен тунел е затоа целосно возможен без никакво дешифрирање на неговата содржина. Скоковите на латентност и присилните повторни поврзувања спаѓаат во истата категорија.

Набљудувањето и нарушувањето се вистински способности. Тие не се истата способност како читањето на внатрешниот товар.

Чекор 4: чувајте ги претпоставките чесни

Заклучокот важи за поддржан, правилно конфигуриран тунел меѓу крајни точки на кои им верувате. Тој не опстојува при компромитиран телефон, украдени акредитиви, застарен сет на шифри или портал што сам по себе е злонамерен. Ниту пак го прави безопасно неочекуваното предупредување за сертификат; третирајте го како посебен инцидент, а не како нешто што се прескокнува со клик. Секое од тие крши претпоставка, а не криптографијата.

Отстранувањето на проверката на партнерот или сертификатот за да исчезне предупредувањето го менува заштитниот однос врз кој се потпиравте.

Чекор 5: следете ги податоците по порталот

VPN заштитата завршува на својата конфигурирана крајна точка. Она што сообраќајот го прави потоа е заштитено само со она што работи на тој слој, поради што правилно валидирана HTTPS сесија сè уште е важна по тунелот. Чистиот текст испратен понатаму од порталот бара сопствена проценка.

Ова е делот што луѓето го забораваат кога тунелот го опишуваат како да ја покрива целата патека.

Чекор 6: ограничете ги тековите што се навистина заштитени

Проверете ја клиентската политика за исклучени апликации, поделен тунел и адресни семејства. Исклучена апликација, необработено адресно семејство или прекината сесија може да користи сосема друга патека, а иконата за статус нема да ви каже кој тек каде отишол.

Запишете го записот како четири факти: пристапната мрежа, автентицираната VPN крајна точка, крајната точка на апликацијата и сообраќајот што навистина е покриен. Тој запис останува вистинит дури и кога иконите лажат.