Ano ang nakikita ng operator sa loob ng cellular VPN tunnel

Ang koneksyong cellular na may dalang VPN ay may dalawang malayang proteksyon, at halos lahat ng nalilitong pahayag tungkol sa privacy sa mobile ay nagmumula sa pagsasama ng mga ito. Pinoprotektahan ng radio network ang sarili nitong access at signalling. Ang VPN client ay nagpapatunay ng gateway at pinoprotektahan ang trapiko patungo sa gateway na iyon. Wala sa kanila ang layer ng isa, at hindi nagiging kapareha ng VPN ang operator dahil lang tinatapos nito ang proteksyon ng cellular access.

Hakbang 1: iguhit ang dalawang ugnayan

Sa isang panig naroon ang telepono at mobile network: pagpaparehistro, radio bearers, at anumang proteksyong itinakda ng access standard. Sa kabilang panig naroon ang VPN client at isang partikular na malayong gateway, na may sariling pagpapatunay at sariling mga susi.

Magkaibang endpoint, magkaibang key material, magkaibang failure mode. Iguhit ang mga ito bilang dalawang linya at hindi isa.

Hakbang 2: markahan kung saan nagtatapos ang bawat isa

Para sa isang IPsec tunnel sa tunnel mode, binabalot ng client ang panloob na packet sa isang bagong panlabas na IP packet at ipinapasa ng network ang panlabas na header na iyon. Ang ESP specification ay direktang naglalarawan ng encapsulation na iyon: protektado ang payload, ang panlabas na addressing ang nakikita ng landas.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Walang anuman sa landas ang nagde-decrypt ng payload sa isang routed hop. Nagaganap ang pagpoproseso sa naka-configure na endpoint, kaya hindi nag-iisa ang dalawang hangganan ng proteksyon.

Hakbang 3: ilista kung ano pa ang maaaring gawin ng operator

Ang access operator ay nakakakita ng panlabas na destinasyon, timing at volume. Maaari rin nitong maapektuhan ang paghahatid sa pamamagitan ng routing, filtering, pagkawala o putol na koneksyon. Kaya't ang mabagal o nabigong tunnel ay lubos na posible nang walang anumang decryption ng nilalaman nito. Ang pagtalon ng latency at sapilitang muling pagkonekta ay nasa parehong kategorya.

Ang pagmamasid at pag-abala ay tunay na kakayahan. Hindi sila ang parehong kakayahan ng pagbasa ng panloob na payload.

Hakbang 4: panatilihing tapat ang mga palagay

Ang konklusyon ay totoo para sa isang sinusuportahang, wastong naka-configure na tunnel sa pagitan ng mga endpoint na pinagkakatiwalaan mo. Hindi ito tumatagal sa isang kompromisadong telepono, nakaw na kredensyal, lumang cipher suite o isang gateway na mismong mapaminsala. Hindi rin nito ginagawang walang pinsala ang isang hindi inaasahang babala sa sertipiko; ituring ito bilang sariling insidente at hindi bilang bagay na nilalaktawan sa pag-click. Ang bawat isa sa mga ito ay sumisira ng isang palagay at hindi ng cryptography.

Ang pag-alis ng peer o certificate validation para mawala ang babala ay nagbabago sa relasyong panproteksyon na iyong pinagkakatiwalaan.

Hakbang 5: sundan ang data lampas sa gateway

Nagtatapos ang proteksyong VPN sa naka-configure nitong endpoint. Anuman ang gawin ng trapiko pagkatapos ay protektado lamang ng tumatakbo sa layer na iyon, kaya mahalaga pa rin ang wastong na-validate na HTTPS session pagkatapos ng tunnel. Ang malinaw na teksto na ipinadala pasulong mula sa gateway ay nangangailangan ng sariling pagtatasa.

Ito ang bahaging nakakalimutan ng mga tao kapag inilalarawan ang tunnel na sumasaklaw sa buong landas.

Hakbang 6: itakda ang saklaw ng mga daloy na talagang protektado

Suriin ang patakaran ng client para sa mga ibinukod na aplikasyon, split tunnelling at mga pamilya ng address. Ang ibinukod na app, hindi naayos na pamilya ng address o nadiskonektang session ay maaaring gumamit ng ganap na ibang landas, at hindi sasabihin ng status icon kung aling daloy ang napunta saan.

Isulat ang talaan bilang apat na katotohanan: ang access network, ang na-authenticate na VPN endpoint, ang endpoint ng aplikasyon at ang trapikong talagang sakop. Nananatiling totoo ang talaang iyon kahit nagsisinungaling ang mga icon.