जब VPN पेलोड एन्क्रिप्टेड हो तो राउटर लॉग क्या दिखाते हैं
एन्क्रिप्शन पेलोड छिपाता है, प्रवाह नहीं। होम गेटवे क्या दर्ज करता है और अपस्ट्रीम पर्यवेक्षक क्या रखता है, इसकी तुलना करें, फिर अपने काउंटर जाँचें।
एन्क्रिप्शन तय करता है कि किसी पैकेट की सामग्री पढ़ी जा सकती है या नहीं, और यह नहीं बताता कि पैकेट का अस्तित्व, आकार और समय लिखा जाएगा या नहीं। एन्क्रिप्टेड टनल आगे भेजने वाला राउटर एक प्रवाह देखता है जिसे उसे पहुँचाना है, और वह उस प्रवाह को गिन सकता है, समय-चिह्न लगा सकता है और उसे किसी से जोड़ सकता है। होम गेटवे क्या दर्ज करता है, इसकी तुलना अपस्ट्रीम नेटवर्क क्या दर्ज करता है से करें, और अंतर यह निकलता है कि किसके पास कौन-से फ़ील्ड रखने का कारण है।
यही तुलना उपयोगी है, क्योंकि गोपनीयता की बहसों में दोनों रिकॉर्ड बार-बार मिला दिए जाते हैं। वे अलग-अलग सवालों के जवाब देते हैं और अलग-अलग अवधि तक रखे जाते हैं।
दो पर्यवेक्षक, दो अलग रिकॉर्ड
आपके किनारे का गेटवे जानता है कि प्रवाह ने कौन-सा स्थानीय इंटरफ़ेस इस्तेमाल किया और, जब वह खुद पते बाँटता है, तब किस डिवाइस के पास वह पता था। वह यह भी देख सकता है कि आपने किस रिज़ॉल्वर से पूछा और किस एंडपॉइंट से संपर्क किया। अपस्ट्रीम में वही ट्रैफ़िक अनूदित होकर पहुँचता है, इसलिए दूसरा नेटवर्क पूरे घर द्वारा साझा किया गया एक सार्वजनिक पता देखता है, जो RFC 3022 में वर्णित कार्य है। किसी भी पर्यवेक्षक ने पेलोड नहीं पढ़ा, और दोनों में से कोई रिकॉर्ड दूसरे को नहीं समेटता।
बाइट के कुल योग भी इसी श्रेणी में आते हैं। वॉल्यूम काउंटर दर्ज करता है कि ट्रैफ़िक गुज़रा, यह दर्ज किए बिना कि वह क्या था।
कौन-से फ़ील्ड वास्तव में निशान छोड़ते हैं
कोई खास डिवाइस क्या संग्रहीत करता है यह इस पर निर्भर करता है कि क्या सक्षम है, इसलिए कोई भी सार्वभौमिक दावा संदेह के योग्य है। तालिका व्यवहार में महत्वपूर्ण फ़ील्ड और हर एक का क्या अर्थ है, सूचीबद्ध करती है।
| Field | Home gateway | Upstream observer |
|---|---|---|
| VPN endpoint address | Yes, as a destination | Yes |
| Local device mapping | Only where it assigns the address | No |
| Byte and packet counts | If statistics are enabled | Usually |
| Flow start and end | If connection logging is on | Usually |
| DNS queries | If the resolver is local | Only if the resolver is theirs |
| Payload contents | No | No |
तालिका को स्तंभ से नहीं, पंक्ति से पढ़ें, क्योंकि हर पंक्ति अलग निष्कर्ष का समर्थन करती है। एंडपॉइंट पता दिखाता है कि टनल मौजूद है, यह नहीं कि उसने क्या ढोया। स्थानीय डिवाइस मैपिंग वह पंक्ति है जो प्रवाह को व्यक्ति से जोड़ती है, और यही वह पंक्ति है जो होम गेटवे रखता है जबकि अपस्ट्रीम पर्यवेक्षक आमतौर पर नहीं रखता।
पेलोड की पंक्ति दोनों स्तंभों में एक जैसी रहती है, और यही वह हिस्सा है जिसकी गारंटी एन्क्रिप्शन वास्तव में देता है। बाकी सब लॉगिंग के चुनावों पर निर्भर है।
जो राउटर टनल समाप्त करता है वह अधिक देखता है
किसी और का एन्क्रिप्टेड ट्रैफ़िक आगे भेजने वाला गेटवे और खुद टनल चलाने वाला राउटर अलग-अलग स्थितियों में होते हैं। दूसरा टनल की स्थिति और उसकी कुंजियाँ रखता है, इसलिए वह आंतरिक पते और टनल के भीतर के गंतव्य देख सकता है। अगर वह राउटर आंतरिक नेटवर्क के लिए पतों का अनुवाद भी करता है, तो उसके लॉग एक ही रिकॉर्ड में किसी डिवाइस को आंतरिक गंतव्य से जोड़ सकते हैं। यह बाहरी प्रवाह से अलग प्रकटीकरण है, जिसे वही बक्सा पैदा करता है।
इसकी तुलना सादे गेटवे के पीछे लैपटॉप क्लाइंट से करें: गेटवे बाहरी प्रवाह दर्ज करता है, और क्लाइंट का अपना लॉग आंतरिक विवरण रखता है। यह पूछना कि तस्वीर का कौन-सा आधा हिस्सा किसके पास है, यह पूछने से अधिक उपयोगी है कि नेटवर्क एन्क्रिप्शन के आर-पार देख सकता है या नहीं। दूसरे सवाल का ईमानदार जवाब नहीं है, और वह सवाल भी नहीं है जो आपके जोखिम को तय करता है।
जाँचें कि आपका अपना डिवाइस क्या दर्ज करता है
दूसरों के बारे में सोचने से पहले अपने उपकरण देखें। नीचे दिए आदेश काउंटर वाले फ़ायरवॉल नियम, अभी भी जीवित कनेक्शन प्रविष्टियाँ और कनेक्शन का ज़िक्र करने वाली लॉग पंक्तियाँ सूचीबद्ध करते हैं। वे Linux-आधारित राउटर पर लागू होते हैं, जिससे अधिकांश उपभोक्ता फ़र्मवेयर निकला है।
nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -lकाउंटर वाला नियम-समूह बताता है कि डिवाइस क्या गिनने को तैयार है, और कनेक्शन तालिका इतिहास के बजाय जीवित प्रवाह दिखाती है। लॉग पंक्तियाँ पुष्टि करती हैं कि फ़र्मवेयर कनेक्शन घटनाएँ लिखता है या नहीं, और यह बहस का ज़्यादातर हिस्सा तय कर देता है। चारों आदेशों पर खाली आउटपुट का मतलब है कि बक्सा बिना दर्ज किए आगे भेजता है, और वह भी एक जवाब है। क्लाइंट पर जाँच दोहराएँ, क्योंकि उसका लॉग तस्वीर का दूसरा आधा हिस्सा रखता है।
सक्षम सुविधाएँ और प्रतिधारण सेटिंग आउटपुट के बगल में लिखें। वही हार्डवेयर आज चुप रह सकता है और टेलीमेट्री चालू करने वाले फ़र्मवेयर अपडेट के बाद बातूनी हो सकता है।