สิ่งที่ผู้ให้บริการมองเห็นภายในอุโมงค์ VPN บนมือถือ

การเชื่อมต่อมือถือที่บรรทุก VPN มีการป้องกันอิสระสองชั้น และข้อกล่าวอ้างที่สับสนเกือบทั้งหมดเกี่ยวกับความเป็นส่วนตัวบนมือถือเกิดจากการรวมสองชั้นนี้เข้าด้วยกัน เครือข่ายวิทยุปกป้องการเข้าถึงและสัญญาณของตน ไคลเอนต์ VPN ตรวจสอบสิทธิ์เกตเวย์และปกป้องทราฟฟิกไปยังเกตเวย์นั้น ไม่มีชั้นใดเป็นชั้นของอีกชั้นหนึ่ง และผู้ให้บริการไม่ได้กลายเป็นคู่ VPN เพียงเพราะมันยุติการป้องกันการเข้าถึงบนมือถือ

ขั้นที่ 1: วาดความสัมพันธ์ทั้งสอง

ด้านหนึ่งคือโทรศัพท์และเครือข่ายมือถือ: การลงทะเบียน ตัวพาวิทยุ และการป้องกันใด ๆ ที่มาตรฐานการเข้าถึงกำหนด อีกด้านหนึ่งคือไคลเอนต์ VPN และเกตเวย์ระยะไกลที่เฉพาะเจาะจง พร้อมการตรวจสอบสิทธิ์ของตนเองและกุญแจของตนเอง

ปลายทางต่างกัน วัสดุกุญแจต่างกัน ลักษณะความล้มเหลวต่างกัน จงวาดเป็นสองเส้นไม่ใช่เส้นเดียว

ขั้นที่ 2: ทำเครื่องหมายว่าการป้องกันแต่ละชั้นสิ้นสุดตรงไหน

สำหรับอุโมงค์ IPsec ในโหมดอุโมงค์ ไคลเอนต์ห่อแพ็กเก็ตภายในด้วยแพ็กเก็ต IP ภายนอกใหม่ และเครือข่ายส่งต่อส่วนหัวภายนอกนั้น ข้อกำหนด ESP อธิบายการห่อหุ้มนั้นโดยตรง: เพย์โหลดได้รับการปกป้อง ส่วนการกำหนดที่อยู่ภายนอกคือสิ่งที่เส้นทางมองเห็น

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

ไม่มีสิ่งใดตามเส้นทางถอดรหัสเพย์โหลดที่ฮอปที่ถูกกำหนดเส้นทาง การประมวลผลเกิดขึ้นที่ปลายทางที่กำหนดค่าไว้ จึงเป็นเหตุให้ขอบเขตการป้องกันทั้งสองไม่หลอมรวมเป็นหนึ่ง

ขั้นที่ 3: ระบุสิ่งที่ผู้ให้บริการยังทำได้

ผู้ให้บริการเข้าถึงมองเห็นปลายทางภายนอก จังหวะเวลา และปริมาณได้ อีกทั้งยังส่งผลต่อการส่งมอบผ่านการกำหนดเส้นทาง การกรอง การสูญหาย หรือการเชื่อมต่อที่ขาดได้ อุโมงค์ที่ช้าหรือล้มเหลวจึงเป็นไปได้ทั้งหมดโดยไม่ต้องถอดรหัสเนื้อหาเลย การกระโดดของความหน่วงและการบังคับเชื่อมต่อใหม่ก็อยู่ในประเภทเดียวกัน

การสังเกตและการรบกวนเป็นความสามารถจริง ทั้งสองไม่ใช่ความสามารถเดียวกับการอ่านเพย์โหลดภายใน

ขั้นที่ 4: รักษาข้อสมมติให้ซื่อตรง

ข้อสรุปนี้ใช้ได้กับอุโมงค์ที่รองรับและกำหนดค่าอย่างถูกต้องระหว่างปลายทางที่คุณไว้วางใจ มันไม่ทนต่อโทรศัพท์ที่ถูกบุกรุก ข้อมูลรับรองที่ถูกขโมย ชุดรหัสที่ล้าสมัย หรือเกตเวย์ที่เองก็เป็นอันตราย มันไม่ได้ทำให้คำเตือนใบรับรองที่ไม่คาดคิดกลายเป็นเรื่องไม่เป็นไร จงถือเป็นเหตุการณ์ของตัวเองไม่ใช่สิ่งที่คลิกข้ามไป แต่ละข้อเหล่านี้ทำลายข้อสมมติ ไม่ใช่การเข้ารหัส

การลบการตรวจสอบคู่หรือใบรับรองเพื่อให้คำเตือนหายไปจะเปลี่ยนความสัมพันธ์ในการป้องกันที่คุณพึ่งพาอยู่

ขั้นที่ 5: ติดตามข้อมูลเลยเกตเวย์ไป

การป้องกัน VPN สิ้นสุดที่ปลายทางที่กำหนดค่าไว้ สิ่งที่ทราฟฟิกทำต่อไปได้รับการปกป้องเพียงโดยสิ่งที่ทำงานในชั้นนั้น จึงเป็นเหตุให้เซสชัน HTTPS ที่ตรวจสอบอย่างถูกต้องยังคงสำคัญหลังอุโมงค์ ข้อความธรรมดาที่ส่งต่อจากเกตเวย์ต้องมีการประเมินของตัวเอง

นี่คือส่วนที่ผู้คนลืมเมื่ออธิบายอุโมงค์ว่าครอบคลุมเส้นทางทั้งหมด

ขั้นที่ 6: กำหนดขอบเขตของโฟลว์ที่ได้รับการปกป้องจริง

ตรวจสอบนโยบายไคลเอนต์สำหรับแอปที่ยกเว้น การแยกอุโมงค์ และตระกูลที่อยู่ แอปที่ถูกยกเว้น ตระกูลที่อยู่ที่ไม่ได้รับการจัดการ หรือเซสชันที่ตัดการเชื่อมต่ออาจใช้เส้นทางอื่นโดยสิ้นเชิง และไอคอนสถานะจะไม่บอกคุณว่าโฟลว์ใดไปที่ไหน

เขียนบันทึกเป็นสี่ข้อเท็จจริง: เครือข่ายการเข้าถึง ปลายทาง VPN ที่ตรวจสอบสิทธิ์แล้ว ปลายทางแอปพลิเคชัน และทราฟฟิกที่ถูกครอบคลุมจริง บันทึกนั้นยังคงเป็นความจริงแม้ไอคอนจะโกหก