Què mostren els registres del router quan la càrrega útil de la VPN està xifrada

El xifratge decideix si es pot llegir el contingut d’un paquet i no diu res sobre si s’escriuran la seva existència, mida i temporització. Un router que reenvia un túnel xifrat veu un flux que ha de lliurar i pot comptar-lo, marcar-lo amb l’hora i atribuir-lo. Compareu què registra una passarel·la domèstica amb què registra una xarxa aigües amunt, i la diferència resulta ser quins camps té motius per conservar cadascuna.

Aquesta comparació és la útil, perquè els dos registres es confonen constantment en els debats sobre privadesa. Responen preguntes diferents i es conserven durant períodes diferents.

Dos observadors, dos registres diferents

La passarel·la de la vostra vora sap quina interfície local va fer servir el flux i, quan reparteix adreces ella mateixa, quin dispositiu tenia aquella adreça en aquell moment. També pot veure quin resolutor vau consultar i amb quin punt final vau contactar. Aigües amunt, el mateix trànsit arriba traduït, de manera que una altra xarxa veu una adreça pública compartida per tota la llar, que és la funció descrita a RFC 3022. Cap dels dos observadors no va llegir la càrrega útil, i cap dels dos registres no conté l’altre.

Els totals de bytes també pertanyen a aquesta categoria. Un comptador de volum registra que hi va haver trànsit sense registrar què era.

Quins camps deixen realment rastre

Què emmagatzema un dispositiu determinat depèn de què estigui activat, així que qualsevol afirmació universal mereix sospita. La taula llista els camps que importen a la pràctica i què implica cadascun.

Llegiu la taula per files i no per columnes, perquè cada fila sosté una conclusió diferent. L’adreça del punt final mostra que existeix un túnel, no què transportava. El mapatge de dispositius locals és la fila que lliga un flux a una persona, i és la fila que conserva una passarel·la domèstica mentre que un observador aigües amunt normalment no.

La fila de la càrrega útil és la mateixa en les dues columnes, i és la part que el xifratge garanteix de debò. Tota la resta depèn de les decisions de registre.

Un router que acaba el túnel veu més

Una passarel·la que reenvia el trànsit xifrat d’altri i un router que executa el túnel ell mateix ocupen posicions diferents. El segon conserva l’estat del túnel i les claus, i per tant pot veure adreces internes i les destinacions dins del túnel. Si aquest router també tradueix adreces per a la xarxa interna, els seus registres poden unir un dispositiu amb una destinació interna en un sol registre. Aquesta és una revelació diferent de la del flux exterior, produïda per la mateixa caixa.

Compareu-ho amb un client de portàtil darrere d’una passarel·la senzilla: la passarel·la registra el flux exterior i el registre propi del client conserva el detall interior. Preguntar qui té quina meitat de la imatge és més productiu que preguntar si la xarxa pot veure a través del xifratge. La resposta honesta a la segona pregunta és no, i tampoc no és la pregunta que decideix la vostra exposició.

Reviseu què registra el vostre propi dispositiu

Mireu el vostre equip abans de raonar sobre el dels altres. Les ordres següents llisten regles de tallafoc que porten comptadors, entrades de connexió encara vives i línies de registre que esmenten una connexió. S’apliquen a un router basat en Linux, del qual descendeix la majoria del firmware de consum.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Un conjunt de regles amb comptadors us diu què està disposat a comptar el dispositiu, i la taula de connexions mostra fluxos vius en lloc de l’historial. Les línies de registre confirmen si el firmware escriu esdeveniments de connexió, cosa que resol bona part de la discussió. Una sortida buida a les quatre ordres significa que la caixa reenvia sense registrar, i això també és una resposta. Repetiu la comprovació al client, perquè el seu registre conserva l’altra meitat de la imatge.

Anoteu les funcions activades i el paràmetre de retenció al costat de les sortides. El mateix maquinari pot estar callat avui i ser xerraire després d’una actualització de firmware que activi la telemetria.