Wat routerlogs wys wanneer die VPN-lading versleutel is
Versleuteling verberg die lading, nie die vloei nie. Vergelyk wat ’n tuispoort vaslê met wat ’n stroomop-waarnemer hou, en kyk dan na jou eie tellers.
Versleuteling bepaal of die inhoud van ’n pakket gelees kan word, en dit sê niks oor of die pakket se bestaan, grootte en tydsberekening neergeskryf word nie. ’n Router wat ’n versleutelde tonnel deurstuur, sien ’n vloei wat hy moet aflewer, en hy kan daardie vloei tel, van ’n tydstempel voorsien en toeskryf. Vergelyk wat ’n tuispoort vaslê met wat ’n stroomop-netwerk vaslê, en die verskil blyk te gaan oor watter velde elkeen ’n rede het om te hou.
Daardie vergelyking is die nuttige een, want die twee rekords word voortdurend deur mekaar gehaal in privaatheidbesprekings. Hulle beantwoord verskillende vrae en word vir verskillende tydperke gehou.
Twee waarnemers, twee verskillende rekords
Die poort aan jou kant weet watter plaaslike koppelvlak die vloei gebruik het en, wanneer dit self adresse uitdeel, watter toestel daardie adres op daardie oomblik gehad het. Dit kan ook sien watter oplosser jy bevraag het en watter eindpunt jy gekontak het. Stroomop kom dieselfde verkeer vertaal aan, so ’n ander netwerk sien een openbare adres wat die hele huishouding deel, wat die funksie is wat in RFC 3022. Nie een van die twee waarnemers het die lading gelees nie, en nie een van die rekords bevat die ander nie.
Byte-totale val ook in hierdie kategorie. ’n Volumeteller teken aan dat verkeer verbygegaan het sonder om aan te teken wat dit was.
Watter velde werklik ’n spoor laat
Wat ’n gegewe toestel stoor, hang af van wat geaktiveer is, so enige universele bewering verdien agterdog. Die tabel lys die velde wat in die praktyk saak maak en wat elkeen impliseer.
| Field | Home gateway | Upstream observer |
|---|---|---|
| VPN endpoint address | Yes, as a destination | Yes |
| Local device mapping | Only where it assigns the address | No |
| Byte and packet counts | If statistics are enabled | Usually |
| Flow start and end | If connection logging is on | Usually |
| DNS queries | If the resolver is local | Only if the resolver is theirs |
| Payload contents | No | No |
Lees die tabel per ry eerder as per kolom, want elke ry ondersteun ’n ander gevolgtrekking. Die eindpuntadres wys dat ’n tonnel bestaan, nie wat dit vervoer het nie. Plaaslike toestelkartering is die ry wat ’n vloei aan ’n persoon koppel, en dit is die ry wat ’n tuispoort hou terwyl ’n stroomop-waarnemer dit gewoonlik nie doen nie.
Die ladingry bly in albei kolomme dieselfde, en dit is die deel wat versleuteling werklik waarborg. Al die res hang van logkeuses af.
’n Router wat die tonnel beëindig, sien meer
’n Poort wat iemand anders se versleutelde verkeer deurstuur en ’n router wat die tonnel self bedryf, staan op verskillende plekke. Die tweede hou tonneltoestand, hou die sleutels daarvoor en kan dus binne-adresse en die bestemmings binne die tonnel sien. As daardie router ook adresse vir die binne-netwerk vertaal, kan sy logs ’n toestel aan ’n binne-bestemming in een rekord koppel. Dit is ’n ander openbaarmaking as die buitenste vloei, deur dieselfde boks geproduseer.
Vergelyk dit met ’n skootrekenaarkliënt agter ’n gewone poort: die poort teken die buitenste vloei aan, en die kliënt se eie log hou die binne-besonderhede. Om te vra wie watter helfte van die prentjie hou, is meer produktief as om te vra of die netwerk deur versleuteling kan sien. Die eerlike antwoord op die tweede vraag is nee, en dit is ook nie die vraag wat jou blootstelling bepaal nie.
Kyk wat jou eie toestel aanteken
Kyk na jou eie toerusting voordat jy oor iemand anders s’n redeneer. Die opdragte hieronder lys firewall-reëls wat tellers dra, verbindingsinskrywings wat nog leef, en logreëls wat ’n verbinding noem. Hulle geld vir ’n Linux-gebaseerde router, waarvan die meeste verbruikersfirmware afstam.
nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l’n Reëlstel met tellers vertel jou wat die toestel bereid is om te tel, en die verbindingstabel wys lewendige vloeie eerder as geskiedenis. Logreëls bevestig of die firmware hoegenaamd verbindingsgebeurtenisse skryf, wat die meeste van die argument besleg. Leë uitvoer op al vier opdragte beteken die boks stuur deur sonder om aan te teken, en dit is ook ’n antwoord. Herhaal die kontrole op die kliënt, want sy log hou die ander helfte van die prentjie.
Teken die geaktiveerde fasiliteite en die bewaringsinstelling langs die uitvoer aan. Dieselfde hardeware kan vandag stil wees en spraaksaam ná ’n firmware-opdatering wat telemetrie aanskakel.