Ці могуць лічыльнікі прапускной здольнасці сказаць, што вы праглядалі праз VPN?

Вы адкрываеце старонку трафіку на роўтары або панэль правайдэра VPN, і там ёсць сумарны аб’ём байтаў на прыладу з графікам побач. Спакусліва прачытаць гэты графік як гісторыю прагляду. Гэта не яна, і прычына структурная, а не юрыдычная. Лічыльнік складае памеры, а гісторыя запісвае прызначэнні і змест, і толькі другая кажа, куды хтосьці пайшоў.

Пачніце з экрана, які вы чытаеце

Перш чым тлумачыць лік, высветліце, што яго стварыла. Сума роўтара на прыладу звычайна паходзіць з лічыльнікаў фізічных інтэрфейсаў, сума кліента VPN — з яго тунеля, а панэль правайдэра — з уліку на далёкім баку. Кожны лічыць іншы ўчастак адной і той жа сесіі. Дзве панэлі, якія паказваюць розныя лікі за адну гадзіну, звычайна абедзве правільныя.

Інтэрвал важны не менш за крыніцу. Пажыццёвая сума, дзённае згортванне і бягучая хуткасць — тры розныя вымярэнні, і толькі бягучая хуткасць мае дастатковую дакладнасць, каб суаднесці яе з адным дзеяннем.

Запішыце крыніцу і інтэрвал перш чым запісваць выснову.

Лічыльнікі вымяраюць слаі, а не старонкі

На партнёры WireGuard лічыльнікі перадачы ў wg show — гэта сумы для гэтага партнёра, уключаючы зашыфраваную карысную нагрузку. Вывад стану OpenVPN паведамляе байты на кліента на сваім узроўні. На хаспе інтэрфейс tun лічыць унутраныя IP-пакеты, а фізічны адаптар — знешнія UDP-пакеты, таму яны адрозніваюцца на накладныя выдаткі інкапсуляцыі і на ўсё астатняе, што дзеліць канал.

Паўторныя перадачы павялічваюць суму без прыходу новага змесціва, і фонавая сінхранізацыя можа заняць гадзіну, пакуль карыстальнік чытае звычайны тэкст.

Таму вялікая сума сведчыць пра дзейнасць, насычаную данымі, і ні пра што больш канкрэтнае. Памер спампаванага файла і дэльта лічыльніка звязаныя, але рэдка роўныя.

Што сума можа пацвердзіць, а што не

Сума байтаў не можа назваць сайт, бо імёны і URL-адрасы жывуць унутры сесій TLS або QUIC, якія лічыльнік ніколі не агледжвае. Яна не можа аддзяліць відэаплынь ад вялікай рэзервовай копіі або загрузку старонкі ад цыклу абнаўлення рэкламы. Што яна можа пацвердзіць — гэта сцвярджэнне пра аб’ём і час: гэтая прылада перадала столькі даных за такое акно.

Каб ператварыць гэта ў сцвярджэнне пра чалавека, патрэбныя яшчэ два складнікі: ідэнтычнасць і суаднясенне.

Дакумент разважанняў пра прыватнасць RFC 6973 тлумачыць, чаму гэтае спалучэнне мае значэнне, і чаму акуратная справаздача аддзяляе назіранае ад выведзенага. Калі выснова патрабуе слова «таму што», аднаго лічыльніка недастаткова як доказу.

Час і ідэнтычнасць змяняюць адказ

Далучыце лічыльнік да названага карыстальніка і дакладнага інтэрвалу — і ён становіцца іншым аб’ектам.

Тады вы можаце суаднесці яго з іншымі назіраннямі: запісам уваходу, DNS-запытам, сесіяй у іншай сістэме. Лічыльнік не выкрыў прызначэнне, але дапамог таму, хто ўжо меў гіпотэзу, пацвердзіць яе. Шыфраванне абараняе змест і імёны ў шляху і не хавае факт існавання плыні, яе памер ці час пачатку.

Вось сумленная мяжа: заканамернасці бачныя, сэнс — не.

Вырашыце, што вы захоўваеце, перш чым збіраць

Калі патрэба — планаванне ёмістасці, грубы дзённы агрэгат адказвае на яе і каштуе няшмат. Калі патрэба — гісторыя па кожным карыстальніку, скажыце пра гэта яўна, назвіце палі і акно захоўвання і разглядайце рашэнне як палітыку, а не як функцыю панэлі. Збор дэталёвай гісторыі таму, што панэль гэта падтрымлівае, — гэта спосаб, якім захоўванне расце без чыйго-небудзь рашэння.

Для пошуку няспраўнасцей параўнайце лічыльнік з дзеяннем, якое вы правяраеце. Сума, што ўстойліва расце, даказвае, што трафік ідзе, а не што праграма працуе.

Роўны лічыльнік падчас сесіі, якая відавочна працуе, звычайна азначае, што вы чытаеце кэшаванае значэнне або не той інтэрфейс. Назвіце поля, якія захоўваюцца, і акно — і наступны аўдыт мецьме што канкрэтна праверыць.