Nhà mạng nhìn thấy gì bên trong đường hầm VPN di động

Một kết nối di động mang VPN có hai lớp bảo vệ độc lập, và gần như mọi khẳng định lẫn lộn về quyền riêng tư di động đều đến từ việc gộp chúng lại. Mạng vô tuyến bảo vệ truy cập và báo hiệu của chính nó. Ứng dụng VPN xác thực một cổng và bảo vệ lưu lượng tới cổng đó. Không lớp nào là tầng của lớp kia, và nhà mạng không trở thành đối tác VPN chỉ vì nó kết thúc bảo vệ truy cập di động.

Bước 1: vẽ cả hai quan hệ

Một bên là điện thoại và mạng di động: đăng ký, sóng mang vô tuyến và bất kỳ bảo vệ nào mà tiêu chuẩn truy cập quy định. Bên kia là ứng dụng VPN và một cổng từ xa cụ thể, với xác thực riêng và khóa riêng.

Điểm cuối khác nhau, vật liệu khóa khác nhau, chế độ lỗi khác nhau. Hãy vẽ chúng thành hai đường thay vì một.

Bước 2: đánh dấu nơi mỗi bên kết thúc

Với đường hầm IPsec ở chế độ đường hầm, ứng dụng bọc gói bên trong vào một gói IP bên ngoài mới và mạng chuyển tiếp tiêu đề bên ngoài đó. Đặc tả ESP mô tả trực tiếp việc đóng gói đó: tải trọng được bảo vệ, địa chỉ bên ngoài là thứ mà đường đi nhìn thấy.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Không gì trên đường giải mã tải trọng tại một chặng được định tuyến. Việc xử lý diễn ra tại điểm cuối đã cấu hình, đó là lý do hai ranh giới bảo vệ không hòa làm một.

Bước 3: liệt kê những gì nhà mạng vẫn có thể làm

Nhà mạng truy cập có thể thấy đích bên ngoài, thời điểm và khối lượng. Nó cũng có thể ảnh hưởng đến việc phân phối qua định tuyến, lọc, mất gói hoặc kết nối bị ngắt. Vì vậy một đường hầm chậm hoặc thất bại hoàn toàn có thể xảy ra mà không cần giải mã nội dung. Các đợt tăng độ trễ và việc buộc kết nối lại nằm trong cùng nhóm đó.

Quan sát và can thiệp là những khả năng thực sự. Chúng không phải cùng một khả năng với việc đọc tải trọng bên trong.

Bước 4: giữ các giả định trung thực

Kết luận đúng với một đường hầm được hỗ trợ và cấu hình đúng giữa các điểm cuối mà bạn tin cậy. Nó không đứng vững trước điện thoại bị xâm nhập, thông tin đăng nhập bị đánh cắp, bộ mật mã lỗi thời hoặc một cổng tự nó có ý đồ xấu. Nó cũng không làm cho cảnh báo chứng chỉ bất ngờ trở nên vô hại; hãy coi đó là một sự cố riêng chứ không phải thứ để bấm bỏ qua. Mỗi điều trong số đó phá vỡ một giả định chứ không phải mật mã.

Xóa xác thực ngang hàng hoặc chứng chỉ để cảnh báo biến mất sẽ thay đổi quan hệ bảo vệ mà bạn đang dựa vào.

Bước 5: theo dữ liệu vượt qua cổng

Bảo vệ VPN kết thúc tại điểm cuối đã cấu hình. Những gì lưu lượng làm tiếp theo chỉ được bảo vệ bởi những gì chạy ở tầng đó, đó là lý do một phiên HTTPS được xác thực đúng vẫn quan trọng sau đường hầm. Văn bản rõ gửi tiếp từ cổng cần đánh giá riêng.

Đây là phần người ta quên khi mô tả một đường hầm là bao phủ toàn bộ đường đi.

Bước 6: xác định phạm vi các luồng thực sự được bảo vệ

Kiểm tra chính sách ứng dụng cho các ứng dụng bị loại trừ, đường hầm chia tách và họ địa chỉ. Một ứng dụng bị loại trừ, một họ địa chỉ không được xử lý hoặc một phiên bị ngắt có thể dùng hoàn toàn đường khác, và biểu tượng trạng thái sẽ không cho bạn biết luồng nào đi đâu.

Viết bản ghi thành bốn sự thật: mạng truy cập, điểm cuối VPN đã xác thực, điểm cuối ứng dụng và lưu lượng thực sự được bao phủ. Bản ghi đó vẫn đúng ngay cả khi các biểu tượng nói dối.