Les compteurs de bande passante peuvent-ils dire ce que vous avez consulté sur un VPN ?

Vous ouvrez la page de trafic du routeur, ou le tableau de bord d’un fournisseur VPN, et il y a un total d’octets par appareil avec un graphique à côté. Il est tentant de lire ce graphique comme un historique de navigation. Ce n’en est pas un, et la raison est structurelle plutôt que juridique. Un compteur additionne des tailles, tandis qu’un historique enregistre des destinations et du contenu, et seul le second vous dit où quelqu’un est allé.

Partez de l’écran que vous lisez

Avant d’interpréter un nombre, découvrez ce qui l’a produit. Le total par appareil d’un routeur vient généralement des compteurs des interfaces physiques, le total d’un client VPN vient de son tunnel, et celui d’un panneau fournisseur vient de la comptabilité côté pair distant. Chacun compte une tranche différente de la même session. Deux panneaux affichant des nombres différents pour la même heure sont généralement tous deux corrects.

L’intervalle compte autant que la source. Un total sur la durée de vie, un cumul journalier et un débit en direct sont trois mesures différentes, et seul le débit en direct a assez de résolution pour être aligné sur une action.

Notez la source et l’intervalle avant de noter une conclusion.

Les compteurs mesurent des couches, pas des pages

Sur un pair WireGuard, les compteurs de transfert de wg show sont des totaux pour ce pair, charge chiffrée comprise. La sortie d’état d’OpenVPN rapporte les octets par client à sa propre couche. Sur l’hôte, l’interface tun compte les paquets IP internes tandis que l’adaptateur physique compte les paquets UDP externes, donc les deux diffèrent par la surcharge d’encapsulation et par tout le reste qui partage le lien.

Les retransmissions gonflent un total sans qu’aucun contenu nouveau n’arrive, et une synchronisation en arrière-plan peut dominer une heure pendant que l’utilisateur lit du texte simple.

C’est pourquoi un total élevé suggère une activité gourmande en données et rien de plus précis. La taille d’un fichier téléchargé et le delta du compteur sont liés, mais ils sont rarement égaux.

Ce qu’un total peut et ne peut pas étayer

Un total d’octets ne peut pas nommer un site, car les noms et les URL vivent à l’intérieur de sessions TLS ou QUIC que le compteur n’inspecte jamais. Il ne peut pas distinguer un flux vidéo d’une grosse sauvegarde, ni un chargement de page d’une boucle de rafraîchissement publicitaire. Ce qu’il peut étayer, c’est une affirmation sur le volume et le temps : cet appareil a déplacé autant de données pendant cette fenêtre.

Transformer cela en affirmation sur une personne demande deux ingrédients de plus : une identité et une corrélation.

Le document RFC 6973 sur les considérations de vie privée explique pourquoi cette combinaison compte, et aussi pourquoi un rapport soigneux sépare ce qui a été observé de ce qui a été déduit. Si la conclusion a besoin du mot parce que, le compteur seul ne suffit pas comme preuve.

Le moment et l’identité changent la réponse

Attachez un compteur à un utilisateur nommé et à un intervalle précis, et il devient un autre objet.

Vous pouvez alors l’aligner sur d’autres observations : un journal de connexion, une requête DNS, une session sur un autre système. Le compteur n’a pas révélé la destination, mais il a aidé quelqu’un qui avait déjà une hypothèse à la confirmer. Le chiffrement protège le contenu et les noms en transit, et il ne cache pas le fait qu’un flux a existé, sa taille ni son heure de début.

C’est la frontière honnête : les motifs sont visibles, le sens ne l’est pas.

Décidez de ce que vous conservez avant de collecter

Si le besoin est la planification de capacité, un agrégat journalier grossier y répond et coûte peu. Si le besoin est un historique par utilisateur, dites-le explicitement, nommez les champs et la fenêtre de conservation, et traitez la décision comme une politique plutôt que comme une fonctionnalité du tableau de bord. Collecter un historique fin parce que le panneau le permet, c’est ainsi que la conservation grandit sans que personne ne décide.

Pour le dépannage, comparez le compteur à l’action que vous testez. Un total qui augmente régulièrement prouve que le trafic circule, pas que l’application fonctionne.

Un compteur plat pendant une session qui fonctionne clairement signifie généralement que vous lisez une valeur en cache ou la mauvaise interface. Nommez les champs conservés et la fenêtre, et le prochain audit aura quelque chose de concret à vérifier.