Qué muestran los registros del router cuando la carga útil de la VPN está cifrada

El cifrado decide si se puede leer el contenido de un paquete y no dice nada sobre si se anotarán su existencia, tamaño y temporización. Un router que reenvía un túnel cifrado ve un flujo que debe entregar, y puede contarlo, marcarlo con hora y atribuirlo. Compare lo que registra una puerta de enlace doméstica con lo que registra una red aguas arriba, y la diferencia resulta ser qué campos tiene cada una motivos para conservar.

Esa comparación es la útil, porque los dos registros se confunden constantemente en los debates sobre privacidad. Responden a preguntas distintas y se conservan durante periodos distintos.

Dos observadores, dos registros distintos

La puerta de enlace de su borde sabe qué interfaz local usó el flujo y, cuando ella misma reparte direcciones, qué dispositivo tenía esa dirección en ese momento. También puede ver qué resolutor consultó y con qué punto final contactó. Aguas arriba, el mismo tráfico llega traducido, así que otra red ve una dirección pública compartida por todo el hogar, que es la función descrita en RFC 3022. Ninguno de los dos observadores leyó la carga útil, y ninguno de los dos registros contiene al otro.

Los totales de bytes también pertenecen a esta categoría. Un contador de volumen registra que pasó tráfico sin registrar qué era.

Qué campos dejan realmente rastro

Lo que almacena un dispositivo concreto depende de lo que esté habilitado, así que cualquier afirmación universal merece sospecha. La tabla enumera los campos que importan en la práctica y qué implica cada uno.

Lea la tabla por filas y no por columnas, porque cada fila sostiene una conclusión distinta. La dirección del punto final muestra que existe un túnel, no qué transportaba. El mapeo de dispositivos locales es la fila que ata un flujo a una persona, y es la fila que conserva una puerta de enlace doméstica mientras que un observador aguas arriba normalmente no.

La fila de la carga útil es la misma en ambas columnas, y esa es la parte que el cifrado garantiza de verdad. Todo lo demás depende de las decisiones de registro.

Un router que termina el túnel ve más

Una puerta de enlace que reenvía el tráfico cifrado ajeno y un router que ejecuta el túnel él mismo ocupan posiciones distintas. El segundo conserva el estado del túnel y las claves, y por tanto puede ver direcciones internas y los destinos dentro del túnel. Si ese router también traduce direcciones para la red interna, sus registros pueden unir un dispositivo con un destino interno en un solo registro. Esa es una revelación distinta de la del flujo exterior, producida por la misma caja.

Compárelo con un cliente portátil detrás de una puerta de enlace sencilla: la puerta registra el flujo exterior y el registro propio del cliente conserva el detalle interior. Preguntar quién tiene qué mitad de la imagen es más productivo que preguntar si la red puede ver a través del cifrado. La respuesta honesta a la segunda pregunta es no, y tampoco es la pregunta que decide su exposición.

Revise qué registra su propio dispositivo

Mire su propio equipo antes de razonar sobre el ajeno. Los comandos siguientes enumeran reglas de cortafuegos con contadores, entradas de conexión aún vivas y líneas de registro que mencionan una conexión. Se aplican a un router basado en Linux, del que desciende la mayor parte del firmware de consumo.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Un conjunto de reglas con contadores le dice qué está dispuesto a contar el dispositivo, y la tabla de conexiones muestra flujos vivos en lugar del historial. Las líneas de registro confirman si el firmware escribe siquiera eventos de conexión, y eso zanja la mayor parte de la discusión. Una salida vacía en los cuatro comandos significa que la caja reenvía sin registrar, y eso también es una respuesta. Repita la comprobación en el cliente, porque su registro conserva la otra mitad de la imagen.

Anote las funciones habilitadas y el ajuste de retención junto a las salidas. El mismo hardware puede estar callado hoy y ser charlatán tras una actualización de firmware que active la telemetría.