מה מראים יומני הנתב כשמטען ה-VPN מוצפן
ההצפנה מסתירה את המטען, לא את הזרימה. השוו מה שרשומת שער ביתי שומרת עם מה שצופה במעלה הזרם שומר, ואז בדקו את המונים שלכם.
ההצפנה קובעת אם אפשר לקרוא את תוכן החבילה, והיא לא אומרת דבר על כך אם קיומה, גודלה ותזמונה של החבילה ייכתבו. נתב שמעביר מנהרה מוצפנת רואה זרימה שעליו למסור, והוא יכול לספור אותה, לתת לה חתימת זמן ולייחס אותה. השוו מה ששער ביתי רושם עם מה שרשת במעלה הזרם רושמת, ותגלו שההבדל הוא אילו שדות לכל אחד יש סיבה לשמור.
ההשוואה הזו היא השימושית, מפני ששתי הרשומות מוחלפות כל הזמן בדיונים על פרטיות. הן עונות על שאלות שונות ונשמרות לתקופות שונות.
שני צופים, שתי רשומות שונות
השער בקצה שלכם יודע באיזה ממשק מקומי השתמשה הזרימה, וכשהוא עצמו מחלק כתובות, איזה מכשיר החזיק בכתובת הזו באותו רגע. הוא עשוי גם לראות באיזה פותר שאלתם ואיזו נקודת קצה יצרתם קשר איתה. במעלה הזרם אותה תעבורה מגיעה מתורגמת, כך שרשת אחרת רואה כתובת ציבורית אחת שהבית כולו חולק, וזו הפונקציה המתוארת ב-RFC 3022. אף אחד מהצופים לא קרא את המטען, ואף אחת מהרשומות לא מכילה את השנייה.
גם סכומי הבתים שייכים לקטגוריה הזו. מונה נפח רושם שתעבורה עברה בלי לרשום מה הייתה.
אילו שדות באמת משאירים עקבה
מה שמכשיר מסוים שומר תלוי במה שמופעל, ולכן כל טענה גורפת ראויה לחשד. הטבלה מפרטת את השדות החשובים בפועל ומה כל אחד מהם מרמז.
| Field | Home gateway | Upstream observer |
|---|---|---|
| VPN endpoint address | Yes, as a destination | Yes |
| Local device mapping | Only where it assigns the address | No |
| Byte and packet counts | If statistics are enabled | Usually |
| Flow start and end | If connection logging is on | Usually |
| DNS queries | If the resolver is local | Only if the resolver is theirs |
| Payload contents | No | No |
קראו את הטבלה לפי שורות ולא לפי עמודות, מפני שכל שורה תומכת במסקנה אחרת. כתובת נקודת הקצה מראה שקיימת מנהרה, לא מה היא נשאה. מיפוי מכשירים מקומיים הוא השורה שקושרת זרימה לאדם, והיא השורה ששער ביתי שומר בעוד שצופה במעלה הזרם בדרך כלל לא.
שורת המטען נשארת זהה בשתי העמודות, וזה החלק שההצפנה באמת מבטיחה. כל השאר תלוי בבחירות הרישום.
נתב שמסיים את המנהרה רואה יותר
שער שמעביר תעבורה מוצפנת של אחר ונתב שמפעיל בעצמו את המנהרה נמצאים בעמדות שונות. השני שומר את מצב המנהרה ואת המפתחות שלה, ולכן יכול לראות כתובות פנימיות ואת היעדים שבתוך המנהרה. אם הנתב הזה גם מתרגם כתובות עבור הרשת הפנימית, היומנים שלו יכולים לחבר מכשיר ליעד פנימי ברשומה אחת. זו חשיפה שונה מהזרימה החיצונית, שמייצר אותה אותו ארגז.
השוו זאת ללקוח מחשב נייד מאחורי שער פשוט: השער רושם את הזרימה החיצונית, והיומן של הלקוח עצמו שומר את הפרט הפנימי. לשאול מי מחזיק איזו חצי מהתמונה מועיל יותר מלשאול אם הרשת רואה מבעד להצפנה. התשובה הכנה לשאלה השנייה היא לא, וגם היא אינה השאלה שקובעת את החשיפה שלכם.
בדקו מה המכשיר שלכם רושם
הביטו בציוד שלכם לפני שאתם מהרהרים בשל אחרים. הפקודות שלמטה מפרטות כללי חומת אש עם מונים, רשומות חיבור שעודן חיות ושורות יומן שמזכירות חיבור. הן חלות על נתב מבוסס Linux, שרוב הקושחה לצרכנים נובעת ממנו.
nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -lסט כללים עם מונים אומר לכם מה המכשיר מוכן לספור, וטבלת החיבורים מציגה זרימות חיות ולא היסטוריה. שורות היומן מאשרות אם הקושחה כותבת בכלל אירועי חיבור, וזה מכריע את רוב הוויכוח. פלט ריק בכל ארבע הפקודות אומר שהארגז מעביר בלי לרשום, וגם זו תשובה. חזרו על הבדיקה בלקוח, מפני שהיומן שלו שומר את החצי השני של התמונה.
רשמו את היכולות המופעלות ואת הגדרת השימור לצד הפלטים. אותו חומרה יכול לשתוק היום ולדבר אחרי עדכון קושחה שמפעיל טלמטריה.