Што паказваюць журналы роўтара, калі карысная нагрузка VPN зашыфравана

Шыфраванне вырашае, ці можна прачытаць змесціва пакета, і нічога не кажа пра тое, ці будуць запісаны яго існаванне, памер і час. Роўтар, які перадае зашыфраваны тунель, бачыць паток, які павінен даставіць, і можа гэты паток палічыць, пазначыць часам і аднесці да кагосьці. Параўнайце, што запісвае хатні шлюз, з тым, што запісвае сетка уверсе, і розніца акажацца ў тым, якія палі кожнаму ёсць сэнс захоўваць.

Менавіта гэтае параўнанне і карыснае, бо два запісы ў абмеркаваннях прыватнасці пастаянна блытаюць. Яны адказваюць на розныя пытанні і захоўваюцца на розныя тэрміны.

Два назіральнікі, два розныя запісы

Шлюз на вашым краі ведае, які лакальны інтэрфейс выкарыстаў паток, а калі ён сам раздае адрасы — якая прылада ў той момант валодала гэтым адрасам. Ён таксама можа бачыць, да якога рэзалвера вы звярталіся і з якім пунктам прызначэння злучаліся. Уверсе той жа трафік прыходзіць перакладзеным, таму іншая сетка бачыць адзін публічны адрас, які дзеліць усё гаспадарка, і гэта функцыя, апісаная ў RFC 3022. Ні адзін назіральнік не чытаў нагрузку, і ні адзін запіс не ўтрымлівае другі.

Сумы байтаў таксама адносяцца да гэтай катэгорыі. Лічыльнік аб’ёму запісвае, што трафік прайшоў, не запісваючы, чым ён быў.

Якія палі сапраўды пакідаюць след

Што захоўвае пэўная прылада, залежыць ад таго, што ўключана, таму любое ўніверсальнае сцвярджэнне варта паддаваць сумневу. Табліца пералічвае палі, якія маюць значэнне на практыцы, і што кожнае з іх азначае.

Чытайце табліцу па радках, а не па слупках, бо кожны радок падтрымлівае іншую выснову. Адрас пункта прызначэння паказвае, што тунель існуе, а не што ён перадаваў. Супастаўленне лакальных прылад — гэта радок, які прывязвае паток да чалавека, і менавіта гэты радок захоўвае хатні шлюз, тады як назіральнік уверсе звычайна не захоўвае.

Радок нагрузкі аднолькавы ў абодвух слупках, і гэта менавіта тое, што шыфраванне сапраўды гарантуе. Усё астатняе залежыць ад рашэнняў аб журнаванні.

Роўтар, які завяршае тунель, бачыць больш

Шлюз, які перадае чужы зашыфраваны трафік, і роўтар, які сам трымае тунель, займаюць розныя пазіцыі. Другі захоўвае стан тунеля і ключы да яго, а таму можа бачыць унутраныя адрасы і пункты прызначэння ўнутры тунеля. Калі гэты роўтар яшчэ і перакладае адрасы для ўнутранай сеткі, яго журналы могуць звязаць прыладу з унутраным пунктам прызначэння ў адным запісе. Гэта іншае раскрыццё, чым знешні паток, і стварае яго той жа блок.

Параўнайце гэта з кліентам на ноўтбуку за звычайным шлюзам: шлюз запісвае знешні паток, а ўласны журнал кліента захоўвае ўнутраныя дэталі. Пытацца, хто трымае якую палову карціны, больш плённа, чым пытацца, ці бачыць сетка скрозь шыфраванне. Сумленны адказ на другое пытанне — не, і гэта таксама не тое пытанне, якое вызначае вашу ўразлівасць.

Праверце, што запісвае ваша ўласная прылада

Паглядзіце на сваё абсталяванне, перш чым разважаць пра чужое. Каманды ніжэй пералічваюць правілы міжсеткавага экрана з лічыльнікамі, яшчэ жывыя запісы злучэнняў і радкі журнала, якія згадваюць злучэнне. Яны тычацца роўтара на базе Linux, ад якога паходзіць большасць спажывецкіх прашывак.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Набор правілаў з лічыльнікамі кажа, што прылада гатовая лічыць, а табліца злучэнняў паказвае жывыя патокі, а не гісторыю. Радкі журнала пацвярджаюць, ці наогул прашыўка запісвае падзеі злучэнняў, і гэта вырашае большасць спрэчкі. Пусты вывад па ўсіх чатырох камандах азначае, што блок перадае без запісу, і гэта таксама адказ. Паўтарыце праверку на кліенце, бо яго журнал захоўвае другую палову карціны.

Запішыце ўключаныя магчымасці і наладу захавання побач з вывадамі. Адно і тое ж абсталяванне можа сёння маўчаць, а пасля абнаўлення прашыўкі, якое ўключае тэлеметрыю, стаць гаваркім.