Ce que les journaux du routeur montrent quand la charge utile VPN est chiffrée

Le chiffrement décide si le contenu d’un paquet peut être lu et ne dit rien sur le point de savoir si l’existence, la taille et la chronologie du paquet seront consignées. Un routeur qui achemine un tunnel chiffré voit un flux qu’il doit livrer, et il peut compter, horodater et attribuer ce flux. Comparez ce qu’enregistre une passerelle domestique avec ce qu’enregistre un réseau en amont, et la différence tient à quels champs chacun a une raison de conserver.

C’est cette comparaison qui est utile, car les deux enregistrements sont sans cesse confondus dans les débats sur la vie privée. Ils répondent à des questions différentes et sont conservés pendant des durées différentes.

Deux observateurs, deux enregistrements différents

La passerelle à votre bord sait quelle interface locale le flux a utilisée et, lorsqu’elle distribue elle-même les adresses, quel appareil détenait cette adresse à ce moment-là. Elle peut aussi voir quel résolveur vous avez interrogé et quel point de terminaison vous avez contacté. En amont, le même trafic arrive traduit, si bien qu’un autre réseau voit une adresse publique partagée par tout le foyer, ce qui est la fonction décrite dans RFC 3022. Aucun des deux observateurs n’a lu la charge utile, et aucun des deux enregistrements ne contient l’autre.

Les totaux d’octets relèvent aussi de cette catégorie. Un compteur de volume enregistre que du trafic est passé sans enregistrer ce qu’il était.

Quels champs laissent réellement une trace

Ce qu’un appareil donné stocke dépend de ce qui est activé, donc toute affirmation universelle mérite la méfiance. Le tableau énumère les champs qui comptent en pratique et ce que chacun implique.

Lisez le tableau par ligne plutôt que par colonne, car chaque ligne soutient une conclusion différente. L’adresse du point de terminaison montre qu’un tunnel existe, pas ce qu’il transportait. Le mappage des appareils locaux est la ligne qui relie un flux à une personne, et c’est la ligne qu’une passerelle domestique conserve alors qu’un observateur en amont ne la conserve généralement pas.

La ligne de la charge utile reste la même dans les deux colonnes, et c’est la partie que le chiffrement garantit réellement. Tout le reste dépend des choix de journalisation.

Un routeur qui termine le tunnel voit davantage

Une passerelle qui achemine le trafic chiffré d’autrui et un routeur qui exécute lui-même le tunnel occupent des positions différentes. Le second conserve l’état du tunnel et ses clés, et peut donc voir les adresses internes et les destinations à l’intérieur du tunnel. Si ce routeur traduit aussi les adresses pour le réseau interne, ses journaux peuvent relier un appareil à une destination interne dans un seul enregistrement. C’est une divulgation différente de celle du flux externe, produite par la même boîte.

Comparez cela à un client portable derrière une passerelle ordinaire : la passerelle enregistre le flux externe, et le journal propre au client conserve le détail interne. Demander qui détient quelle moitié de l’image est plus productif que demander si le réseau peut voir à travers le chiffrement. La réponse honnête à la seconde question est non, et ce n’est pas non plus la question qui décide de votre exposition.

Vérifiez ce qu’enregistre votre propre appareil

Examinez votre propre équipement avant de raisonner sur celui des autres. Les commandes ci-dessous listent les règles de pare-feu qui portent des compteurs, les entrées de connexion encore actives et les lignes de journal mentionnant une connexion. Elles s’appliquent à un routeur sous Linux, dont descend la plupart des micrologiciels grand public.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Un jeu de règles avec compteurs vous dit ce que l’appareil accepte de compter, et la table des connexions montre les flux actifs plutôt que l’historique. Les lignes de journal confirment si le micrologiciel écrit ne serait-ce que des événements de connexion, et cela tranche l’essentiel du débat. Une sortie vide sur les quatre commandes signifie que la boîte achemine sans enregistrer, et c’est aussi une réponse. Répétez la vérification sur le client, car son journal conserve l’autre moitié de l’image.

Notez les fonctions activées et le réglage de conservation à côté des sorties. Le même matériel peut être silencieux aujourd’hui et bavard après une mise à jour du micrologiciel qui active la télémétrie.