Çfarë sheh operatori brenda një tuneli VPN celular

Një lidhje celulare që mbart një VPN ka dy mbrojtje të pavarura, dhe pothuajse çdo pohim i ngatërruar për privatësinë mobile vjen nga bashkimi i tyre. Rrjeti radio mbron aksesin dhe sinjalizimin e vet. Klienti VPN vërteton një portë dhe mbron trafikun drejt asaj porte. Asnjëra nuk është shtresë e tjetrës, dhe operatori nuk bëhet palë e VPN-së thjesht sepse përfundon mbrojtjen e aksesit celular.

Hapi 1: vizatoni të dy marrëdhëniet

Nga njëra anë janë telefoni dhe rrjeti mobil: regjistrimi, bartësit radio dhe çdo mbrojtje që përcakton standardi i aksesit. Nga ana tjetër janë klienti VPN dhe një portë e caktuar në distancë, me vërtetimin e vet dhe çelësat e vet.

Pika fundore të ndryshme, material çelësi i ndryshëm, mënyra dështimi të ndryshme. Vizatojini si dy vija dhe jo si një.

Hapi 2: shënoni ku përfundon secila

Për një tunel IPsec në modalitetin tunel, klienti e mbështjell paketën e brendshme në një paketë të re IP të jashtme dhe rrjeti e përcjell atë kokë të jashtme. Specifikimi ESP e përshkruan drejtpërdrejt atë enkapsulim: ngarkesa mbrohet, adresimi i jashtëm është ajo që sheh rruga.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Asgjë përgjatë rrugës nuk e deshifron ngarkesën në një hop të rrugëtuar. Përpunimi ndodh në pikën fundore të konfiguruar, dhe për këtë arsye dy kufijtë e mbrojtjes nuk bashkohen në një.

Hapi 3: renditni çfarë mund të bëjë ende operatori

Një operator aksesi mund të shohë destinacione të jashtme, kohën dhe vëllimin. Ai gjithashtu mund të ndikojë në dorëzim përmes rrugëtimit, filtrimit, humbjes ose një lidhjeje të ndërprerë. Një tunel i ngadaltë ose i dështuar është pra plotësisht i mundur pa asnjë deshifrim të përmbajtjes së tij. Rritjet e vonesës dhe rilidhjet e detyruara bien në të njëjtën kategori.

Vëzhgimi dhe prishja janë aftësi reale. Ato nuk janë e njëjta aftësi si leximi i ngarkesës së brendshme.

Hapi 4: mbani supozimet të sinqerta

Përfundimi vlen për një tunel të mbështetur dhe të konfiguruar saktë midis pikave fundore që i besoni. Ai nuk i mbijeton një telefoni të kompromentuar, kredencialeve të vjedhura, një grupi shifrimi të vjetruar ose një porte që është vetë keqdashëse. As nuk e bën të padëmshme një paralajmërim të papritur certifikate; trajtojeni si incident më vete dhe jo si diçka që klikohet tutje. Secili prej tyre thyen një supozim dhe jo kriptografinë.

Heqja e vërtetimit të palës ose të certifikatës që paralajmërimi të zhduket ndryshon marrëdhënien e mbrojtjes ku po mbështeteshit.

Hapi 5: ndiqni të dhënat përtej portës

Mbrojtja VPN përfundon në pikën e saj fundore të konfiguruar. Çfarë bën trafiku më pas mbrohet vetëm nga ajo që punon në atë shtresë, dhe për këtë arsye një sesion HTTPS i vërtetuar si duhet mbetet i rëndësishëm edhe pas tunelit. Teksti i qartë i dërguar më tej nga porta kërkon vlerësimin e vet.

Kjo është pjesa që njerëzit harrojnë kur përshkruajnë një tunel si mbulues të gjithë rrugës.

Hapi 6: kufizoni rrjedhat që janë në të vërtetë të mbrojtura

Kontrolloni politikën e klientit për aplikacione të përjashtuara, tunelizim të ndarë dhe familje adresash. Një aplikacion i përjashtuar, një familje adresash e patrajtuar ose një sesion i shkëputur mund të përdorë një rrugë krejt tjetër, dhe një ikonë statusi nuk do t'ju thotë se cila rrjedhë shkoi ku.

Shkruani regjistrin si katër fakte: rrjeti i aksesit, pika fundore VPN e vërtetuar, pika fundore e aplikacionit dhe trafiku i mbuluar në të vërtetë. Ai regjistër mbetet i vërtetë edhe kur ikonat gënjejnë.