Мобильные данные и Wi-Fi кампуса: что VPN на самом деле добавляет

Сначала спросите, кто смотрит, и только потом — помогает ли туннель, потому что ответ полностью меняется в зависимости от наблюдателя. В мобильных данных интересный наблюдатель — оператор, в Wi-Fi кампуса — сеть, к которой вы только что подключились. Это разные позиции с разной видимостью, и один туннель не может улучшить обе одинаково. Большая часть путаницы возникает из-за того, что VPN считают свойством устройства, а не изменением того, кто что может видеть. Пройдите переходы по одному, и решение обычно принимается само.

Что скрывает радиопереход, а что нет

Шифрование радио плохо показало себя в ранних поколениях, а поздние сильнее, но не становятся невидимыми. Семейство GSM A5 взломали годы назад, а для алгоритмов третьего поколения опубликованы практические атаки. Что переживает всё это — метаданные: какая сота, когда, сколько и какие адреса. Пропустите трафик через туннель, и оператор теряет пункты назначения, а оператор туннеля их получает; это обмен, который стоит того против любопытного оператора и бесполезен против того, кто хранит и продаёт записи.

Оператор также не единственная сторона на этом пути: соглашение о роуминге добавляет ещё одну сеть, которая может наблюдать те же метаданные, а выход туннеля становится местом, где всё это собирается.

HTTPS уже закрывает большую часть этого

Почти всё, что люди делают на телефоне, уже внутри TLS: веб-почта, банкинг, сообщения, большинство приложений. Туннель это не усиливает, а когда он сам предоставляет резолвер, он видит имена, которые TLS иначе скрыл бы. За пределами TLS остаются схема назначений, любой старый протокол с открытым текстом, а также время и объём разговора.

Именно этот остаток VPN и меняет, поэтому он важнее в общей сети Wi-Fi, чем в соединении, уже зашифрованном на каждом переходе. Поэтому и банковскому сайту в мобильных данных не нужен туннель: сертификат и клиент уже решают эту угрозу.

VPN кампуса — инструмент доступа

Университеты держат VPN, чтобы поместить вас внутрь своей сети, и это правильный ответ для лицензированного журнала, общей папки кафедры, лабораторной машины или сервиса, который блокирует периметр. Это не инструмент приватности, а полный туннель делает университет наблюдателем всего, что вы делаете, включая сайты, не связанные с учёбой. Когда цель — не дать кампусу видеть ваши адреса, использование VPN кампуса работает ровно наоборот.

Политика допустимого использования относится к механизму, а не к сноскам. Добираться до лицензированного ресурса через туннель кампуса — для этого он и нужен; использовать коммерческий туннель, чтобы обойти фильтр кампуса, обычно нарушение, работает это или нет. Эти два предложения решают большинство реальных случаев без всякого мнения о поставщиках.

Решите с тремя вопросами

Остаются три вопроса: кто тот наблюдатель, который вас волнует, что уже зашифровано от конца до конца и что разрешает политика. Ответьте письменно, потому что ответы коротки, и именно они меняются позже.

Затем выберите форму туннеля из этих ответов, а не из привычки. Если один туннель для приватных ресурсов, а другой инстинкт для обычного просмотра, держите их отдельно, вместо того чтобы просить одного клиента делать и то и другое плохо. Разделённое туннелирование — законный дизайн, а не компромисс, если маршрутизация записана и вы знаете, какой трафик идёт каким путём. Ошибка, которой нужно избегать, — клиент, который сообщает о подключении, отправляя только выбранные префиксы, и никто не замечает, в каком случае они находятся.

Проверьте оба пути, а затем опишите их честно

После подключения проверьте один приватный ресурс и один обычный сайт и посмотрите на адрес выхода с каждой стороны. Эта одна проверка отделяет работающий разделённый туннель от полного, и это единственное утверждение о покрытии, которое можно сделать без догадок.

Запишите два результата в заявку. Такая фраза ценнее любого утверждения о том, стоит ли VPN, потому что называет пути, а не продукт.