Pode o operador dunha VPN ver que sitios visita?

Pregunte que pode ver a VPN e a resposta depende de onde se sitúe na ruta. Na capa de sesión o operador ten eventos de autenticación e recontos de bytes. Na capa de paquetes ten enderezos de destino e tempos. Na capa de DNS pode ter os nomes mesmos. Cada capa responde a unha pregunta distinta, e ningún interruptor o move entre elas.

Trace a capa antes de afirmar nada

A mesma conexión produce rexistros distintos en cada punto, e unha afirmación sobre privacidade só ten sentido cando nomea o punto. Lea a táboa columna por columna: que existe nesa capa, que pode ver alí un operador e que seguen sen poder dicirlle eses mesmos rexistros.

Ler unha soa capa como se fose toda a imaxe é como comezan tanto as esaxeracións como a falsa tranquilidade. Un provedor que di que non rexistra a navegación pode ser exacto sobre o rexistro de URL e aínda así gardar rexistros de sesión, e unha captura de paquetes que só mostra enderezos non se converte en historial de navegación sen procuras inversas e conxecturas.

Cando avalíe unha política, atope a frase que describe cada capa. Se a política non as separa, pregunte que rexistros existen en lugar de aceptar unha declaración xeral sobre o cifrado.

Inventario de sesións: que garda un servidor OpenVPN estándar

Tal como sae de fábrica, un servidor OpenVPN non captura tráfico. A saída normal é un inventario de sesións: a conta que se autenticou, o enderezo de orixe do que veu, marcas de tempo de inicio e fin, o enderezo de túnel asignado e os totais de bytes en cada dirección. É un inventario de sesións, non unha lista de destinos.

As opcións de rexistro poden engadir detalle. Un nivel de verbosidade máis alto escribe máis sobre o saúdo, e un ficheiro de estado pode listar os clientes conectados, pero ningunha das dúas converte o servidor nun proxy transparente. Producir URL esixe terminar o TLS ou executar un proxy explícito, e ambas as cousas cambian o acordo de confianza en lugar de habilitar unha función oculta.

Por iso a versión exacta da afirmación de que non hai rexistro de navegación é máis estreita do que soa. O servidor non coñece a páxina, pero si sabe que existiu unha sesión e aproximadamente cantos datos a atravesaron. Se ese rexistro de sesión se conserva, e durante canto tempo, é unha cuestión de política á parte.

Os paquetes interiores e os exteriores son probas distintas

Unha captura de paquetes é como se ve o que realmente cruza o túnel. No servidor, nomee a interface do túnel e escriba nun ficheiro que poida analizarse sen conexión:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Ese ficheiro contén tráfico interior descifrado: o enderezo de túnel do cliente como orixe, o enderezo e o porto de destino, os tamaños de paquete e os tempos. Non contén a ruta HTTP nin o corpo da resposta salvo que se teña terminado o TLS nalgún punto, e son datos sensibles cuxa retención é unha decisión de política e non unha comodidade de depuración.

Unha captura na interface física mostra outra cousa. Alí vense paquetes exteriores dirixidos ao punto final da VPN, coa carga cifrada dentro. Os enderezos non relacionados que aparecen nese ficheiro son normais unha vez que existe un adaptador virtual, porque o dispositivo de túnel leva os fluxos interiores mentres o transporte cifrado leva os exteriores.

Pregunte que debe responder a captura. O uso que fai unha aplicación do túnel vese no adaptador virtual; o alcance do túnel ata o punto final vese no físico. Usar calquera dos dous ficheiros como se fose a imaxe completa produce conclusións que os datos non sustentan.

O DNS é onde os nomes se volven visibles

O DNS segue sendo a excepción práctica. O resolutor ve os nomes que se lle piden resolver, así que quen o opera aprende que sitios consulta un cliente aínda que as conexións posteriores estean cifradas. Unha captura do túnel mostra enderezos; o resolutor mostra nomes.

Comprobe que enderezo usou o resolutor para chegar a un servizo exterior. A resposta é o enderezo de saída do resolutor, e comparala coa saída da VPN dille se a consulta viaxou polo túnel:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Se ese enderezo coincide coa conexión local e non coa saída do túnel, a procura evitou a VPN e o nome era visible na ruta local. Repita a comprobación tras unha actualización do cliente, porque unha versión nova pode cambiar que resolutor instala o perfil.

O DNS cifrado despraza a visibilidade en lugar de eliminarla. A rede xa non ve a consulta, pero o resolutor si, e a cuestión de confianza simplemente cambia de mans. O nome do servidor TLS no saúdo da conexión é outro sinal parcial: a miúdo sobrevive mesmo cando a carga é opaca, así que os enderezos de destino non son os únicos metadatos que un servidor de reenvío pode observar.

Tres tipos de rexistros e quen pode lelos

A contabilidade de sesións, os rexistros por nome e as probas de fuga son tres produtos distintos con tres obrigas distintas. Os rexistros de sesión son baratos e de baixa sensibilidade, e responden quen se conectou e cando. Os rexistros por nome esixen un resolutor que rexistre ou un proxy explícito, e crean unha obriga de divulgación cara ás persoas afectadas. A proba de fuga é un test do lado do cliente que compara o que revela o resolutor coa saída do túnel.

Anote cal destes tres executa, quen pode lelo e canto tempo permanece. As afirmacións de que un servizo non garda rexistros describen unha capa, e só son certas dentro dese alcance. O mesmo provedor pode ser exacto sobre as sesións e equivocarse sobre o DNS.

Manteña a proba reproducible: a mesma consulta ao resolutor, a mesma interface de captura e a mesma comparación. Unha afirmación de privacidade que non se pode probar nunha capa nomeada é un eslogan, non un feito operativo.