Mitä reitittimen lokit näyttävät, kun VPN:n hyötykuorma on salattu

Salaus ratkaisee, voidaanko paketin sisältö lukea, eikä se kerro mitään siitä, kirjataanko paketin olemassaolo, koko ja ajoitus. Salattua tunnelia välittävä reititin näkee virran, joka sen on toimitettava, ja se voi laskea, aikaleimata ja kohdistaa tämän virran. Vertaa, mitä kodin yhdyskäytävä tallentaa, siihen, mitä ylävirran verkko tallentaa, ja ero osoittautuu siihen, millä kentillä kummallakin on syy pitää ne.

Tämä vertailu on hyödyllinen, koska kaksi tallennetta sekoitetaan jatkuvasti yksityisyyskeskusteluissa. Ne vastaavat eri kysymyksiin ja niitä säilytetään eri ajanjaksoja.

Kaksi tarkkailijaa, kaksi erilaista tallennetta

Reunasi yhdyskäytävä tietää, mitä paikallista liitäntää virta käytti, ja kun se itse jakaa osoitteita, millä laitteella kyseinen osoite oli silloin. Se voi myös nähdä, miltä nimipalvelimelta kysyit ja mihin päätepisteeseen otit yhteyttä. Ylävirrassa sama liikenne saapuu käännettynä, joten toinen verkko näkee yhden julkisen osoitteen, jota koko kotitalous jakaa, mikä on RFC 3022 -spesifikaatiossa kuvattu toiminto. Kumpikaan tarkkailija ei lukenut hyötykuormaa, eikä kumpikaan tallenne sisällä toista.

Myös tavusummat kuuluvat tähän luokkaan. Tilavuuslaskuri tallentaa, että liikennettä kulki, tallentamatta mitä se oli.

Mitkä kentät todella jättävät jäljen

Se, mitä tietty laite tallentaa, riippuu siitä, mikä on käytössä, joten jokainen yleinen väite ansaitsee epäilyksen. Taulukko luettelee kentät, joilla on käytännössä merkitystä, ja mitä kukin niistä merkitsee.

Lue taulukkoa riveittäin älä sarakkeittain, koska jokainen rivi tukee eri johtopäätöstä. Päätepisteen osoite osoittaa, että tunneli on olemassa, ei sitä, mitä se kuljetti. Paikallisten laitteiden kartoitus on rivi, joka sitoo virran henkilöön, ja se on rivi, jonka kodin yhdyskäytävä pitää, kun taas ylävirran tarkkailija ei yleensä pidä.

Hyötykuorman rivi pysyy samana molemmissa sarakkeissa, ja se on osa, jonka salaus todella takaa. Kaikki muu riippuu lokitusvalinnoista.

Tunnelin päättävä reititin näkee enemmän

Yhdyskäytävä, joka välittää toisten salattua liikennettä, ja reititin, joka itse ylläpitää tunnelia, ovat eri asemissa. Jälkimmäinen pitää tunnelin tilaa ja sen avaimia ja voi siksi nähdä sisäiset osoitteet ja tunnelin sisäiset kohteet. Jos tämä reititin kääntää osoitteita myös sisäverkolle, sen lokit voivat yhdistää laitteen sisäiseen kohteeseen yhdessä tallenteessa. Se on erilainen paljastus kuin ulompi virta, ja sen tuottaa sama laatikko.

Vertaa tätä kannettavan tietokoneen asiakkaaseen tavallisen yhdyskäytävän takana: yhdyskäytävä tallentaa ulomman virran ja asiakkaan oma loki pitää sisäisen yksityiskohdan. Kysyminen, kuka pitää mitäkin puolta kuvasta, on tuottavampaa kuin kysyminen, näkeekö verkko salauksen läpi. Rehellinen vastaus toiseen kysymykseen on ei, eikä sekään ole kysymys, joka ratkaisee altistumisesi.

Tarkista, mitä oma laitteesi tallentaa

Katso omia laitteitasi ennen kuin päättelet toisten laitteista. Alla olevat komennot listaavat laskureita kantavat palomuurisäännöt, vielä elossa olevat yhteysmerkinnät ja yhteyden mainitsevat lokirivit. Ne koskevat Linux-pohjaista reititintä, josta suurin osa kuluttajalaitteiden laiteohjelmistosta polveutuu.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Laskureita sisältävä sääntöjoukko kertoo, mitä laite on valmis laskemaan, ja yhteystaulukko näyttää eläviä virtoja historian sijaan. Lokirivit vahvistavat, kirjoittaako laiteohjelmisto ylipäätään yhteystapahtumia, ja se ratkaisee suurimman osan kiistasta. Tyhjä tuloste kaikissa neljässä komennossa tarkoittaa, että laatikko välittää tallentamatta, ja sekin on vastaus. Toista tarkistus asiakkaalla, koska sen loki pitää kuvan toisen puolen.

Kirjaa käytössä olevat ominaisuudet ja säilytysasetus tulosteiden viereen. Sama laitteisto voi olla tänään hiljaa ja puhelias sen jälkeen, kun laiteohjelmistopäivitys kytkee telemetrian päälle.