Was Router-Protokolle zeigen, wenn die VPN-Nutzlast verschlüsselt ist

Verschlüsselung entscheidet, ob der Inhalt eines Pakets gelesen werden kann, und sagt nichts darüber, ob Existenz, Größe und Zeitpunkt des Pakets festgehalten werden. Ein Router, der einen verschlüsselten Tunnel weiterleitet, sieht einen Fluss, den er zustellen muss, und er kann diesen Fluss zählen, mit einem Zeitstempel versehen und ihm zuordnen. Vergleichen Sie, was ein Heim-Gateway aufzeichnet, mit dem, was ein vorgelagertes Netzwerk aufzeichnet, und der Unterschied erweist sich als die Frage, für welche Felder jedes davon einen Grund hat, sie zu behalten.

Dieser Vergleich ist der nützliche, weil die beiden Aufzeichnungen in Datenschutzdebatten ständig vermischt werden. Sie beantworten unterschiedliche Fragen und werden unterschiedlich lange aufbewahrt.

Zwei Beobachter, zwei verschiedene Aufzeichnungen

Das Gateway an Ihrem Rand weiß, welche lokale Schnittstelle der Fluss nutzte, und wenn es selbst Adressen vergibt, welches Gerät diese Adresse zu diesem Zeitpunkt hatte. Es kann auch sehen, welchen Resolver Sie abgefragt und welchen Endpunkt Sie kontaktiert haben. Vorgelagert kommt derselbe Verkehr übersetzt an, sodass ein anderes Netzwerk eine öffentliche Adresse sieht, die der ganze Haushalt teilt, was die in RFC 3022 beschriebene Funktion ist. Keiner der Beobachter hat die Nutzlast gelesen, und keine der Aufzeichnungen enthält die andere.

Auch Bytessummen gehören in diese Kategorie. Ein Volumenzähler hält fest, dass Verkehr vorbeikam, ohne festzuhalten, was er war.

Welche Felder tatsächlich eine Spur hinterlassen

Was ein bestimmtes Gerät speichert, hängt davon ab, was aktiviert ist, daher verdient jede allgemeine Behauptung Misstrauen. Die Tabelle listet die Felder auf, die in der Praxis zählen, und was jedes davon bedeutet.

Lesen Sie die Tabelle zeilenweise statt spaltenweise, denn jede Zeile stützt eine andere Schlussfolgerung. Die Endpunktadresse zeigt, dass ein Tunnel existiert, nicht was er beförderte. Die Zuordnung lokaler Geräte ist die Zeile, die einen Fluss an eine Person bindet, und sie ist die Zeile, die ein Heim-Gateway behält, während ein vorgelagerter Beobachter sie normalerweise nicht behält.

Die Nutzlastzeile bleibt in beiden Spalten gleich, und das ist der Teil, den Verschlüsselung tatsächlich garantiert. Alles andere hängt von Protokollierungsentscheidungen ab.

Ein Router, der den Tunnel beendet, sieht mehr

Ein Gateway, das fremden verschlüsselten Verkehr weiterleitet, und ein Router, der den Tunnel selbst betreibt, nehmen unterschiedliche Positionen ein. Der zweite hält Tunnelzustand und die Schlüssel dafür und kann daher innere Adressen und die Ziele innerhalb des Tunnels sehen. Wenn dieser Router auch Adressen für das innere Netz übersetzt, können seine Protokolle ein Gerät mit einem inneren Ziel in einer Aufzeichnung verbinden. Das ist eine andere Offenlegung als der äußere Fluss, erzeugt von derselben Box.

Vergleichen Sie das mit einem Laptop-Client hinter einem einfachen Gateway: Das Gateway zeichnet den äußeren Fluss auf, und das eigene Protokoll des Clients hält das innere Detail. Zu fragen, wer welche Hälfte des Bildes hat, ist produktiver als zu fragen, ob das Netzwerk durch die Verschlüsselung sehen kann. Die ehrliche Antwort auf die zweite Frage ist nein, und sie ist auch nicht die Frage, die Ihre Exposition entscheidet.

Prüfen Sie, was Ihr eigenes Gerät aufzeichnet

Sehen Sie sich Ihre eigene Ausrüstung an, bevor Sie über fremde nachdenken. Die folgenden Befehle listen Firewall-Regeln mit Zählern, noch lebende Verbindungseinträge und Protokollzeilen, die eine Verbindung erwähnen. Sie gelten für einen Linux-basierten Router, von dem die meiste Verbraucher-Firmware abstammt.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Ein Regelsatz mit Zählern sagt Ihnen, was das Gerät zu zählen bereit ist, und die Verbindungstabelle zeigt lebende Flüsse statt Historie. Protokollzeilen bestätigen, ob die Firmware überhaupt Verbindungsereignisse schreibt, und das entscheidet den größten Teil des Streits. Leere Ausgabe bei allen vier Befehlen bedeutet, dass die Box weiterleitet, ohne aufzuzeichnen, und auch das ist eine Antwort. Wiederholen Sie die Prüfung auf dem Client, denn dessen Protokoll hält die andere Hälfte des Bildes.

Notieren Sie die aktivierten Funktionen und die Aufbewahrungseinstellung neben den Ausgaben. Dieselbe Hardware kann heute schweigen und nach einem Firmware-Update, das Telemetrie einschaltet, gesprächig werden.