Megmondhatják a sávszélesség-számlálók, mit böngésztél egy VPN-en?

Megnyitod az útválasztó forgalmi oldalát vagy egy VPN-szolgáltató irányítópultját, és ott van egy eszközönkénti bájtösszeg grafikonnal mellette. Kísértő ezt a grafikont böngészési előzményként olvasni. Nem az, és az ok szerkezeti, nem jogi. A számláló méreteket ad össze, míg az előzmény célokat és tartalmat rögzít, és csak az utóbbi mondja meg, hova ment valaki.

Kezdd annál a képernyőnél, amit olvasol

Mielőtt értelmezel egy számot, derítsd ki, mi hozta létre. Az útválasztó eszközönkénti összege általában a fizikai interfészek számlálóiból jön, a VPN-kliens összege az alagútjából, a szolgáltató panelje pedig a távoli fél oldali elszámolásból. Mindegyik ugyanazon munkamenet más szeletét számolja. Két panel, amely ugyanarra az órára eltérő számokat mutat, rendszerint mindkettő helyes.

Az intervallum ugyanolyan fontos, mint a forrás. Az élettartam-összeg, a napi összesítés és az élő sebesség három különböző mérés, és csak az élő sebességnek van elég felbontása ahhoz, hogy egyetlen művelethez illeszkedjen.

Írd fel a forrást és az intervallumot, mielőtt felírsz egy következtetést.

A számlálók rétegeket mérnek, nem oldalakat

Egy WireGuard-peer esetén a wg show átviteli számlálói arra a peerre vonatkozó összegek, a titkosított hasznos terheléssel együtt. Az OpenVPN állapotkimenete kliensenkénti bájtokat jelent a saját rétegén. A gazdagépen a tun interfész a belső IP-csomagokat számolja, míg a fizikai adapter a külső UDP-csomagokat, így a kettő a beágyazási többletköltség és a kapcsolatot megosztó minden más miatt tér el.

Az újraküldések felfújják az összeget anélkül, hogy új tartalom érkezne, és egy háttérszinkronizálás egy egész órát uralhat, miközben a felhasználó egyszerű szöveget olvas.

Ezért a nagy összeg adatigényes tevékenységre utal, és semmi konkrétabbra. Egy letöltött fájl mérete és a számláló deltája összefügg, de ritkán egyenlő.

Mit tud és mit nem tud alátámasztani egy összeg

Egy bájtösszeg nem tud webhelyet megnevezni, mert a nevek és URL-ek olyan TLS- vagy QUIC-munkameneteken belül élnek, amelyeket a számláló soha nem vizsgál. Nem tudja elválasztani a videóstreamet egy nagy biztonsági másolattól, sem egy oldalbetöltést egy hirdetésfrissítési huroktól. Amit alá tud támasztani, az a mennyiségre és időre vonatkozó állítás: ez az eszköz ennyi adatot mozgatott ebben az ablakban.

Ahhoz, hogy ezt egy személyre vonatkozó állítássá alakítsd, két összetevő kell még: identitás és korreláció.

Az RFC 6973 adatvédelmi megfontolások dokumentum elmagyarázza, miért számít ez a kombináció, és azt is, miért különíti el a gondos jelentés a megfigyeltet a következtetettől. Ha a következtetésnek kell a mert szó, a számláló önmagában nem elegendő bizonyíték.

Az időzítés és az identitás megváltoztatja a választ

Rögzíts egy számlálót egy megnevezett felhasználóhoz és egy pontos intervallumhoz, és máris más objektummá válik.

Ezután összevetheted más megfigyelésekkel: bejelentkezési rekorddal, DNS-lekérdezéssel, egy másik rendszeren lévő munkamenettel. A számláló nem fedte fel a célt, de segített valakinek, akinek már volt hipotézise, megerősíteni azt. A titkosítás védi a tartalmat és a neveket az átvitel során, és nem rejti el, hogy létezett egy folyam, mekkora volt, vagy mikor kezdődött.

Ez a becsületes határ: a minták láthatók, a jelentés nem.

Döntsd el, mit tartasz meg, mielőtt gyűjtesz

Ha a követelmény kapacitástervezés, egy durva napi összesítés megválaszolja, és kevésbe kerül. Ha a követelmény felhasználónkénti előzmény, mondd ki egyértelműen, nevezd meg a mezőket és a megőrzési ablakot, és kezeld a döntést szabályzatként, nem irányítópult-funkcióként. Finom előzményeket gyűjteni azért, mert a panel támogatja, az az út, amelyen a megőrzés bárki döntése nélkül növekszik.

Hibaelhárításhoz vesd össze a számlálót a tesztelt művelettel. Az egyenletesen növekvő összeg azt bizonyítja, hogy folyik a forgalom, nem azt, hogy az alkalmazás működik.

A lapos számláló egy láthatóan működő munkamenet alatt általában azt jelenti, hogy gyorsítótárazott értéket vagy rossz interfészt olvasol. Nevezd meg a megőrzött mezőket és az ablakot, és a következő auditnak lesz mit konkrétan ellenőriznie.