Apa yang ditunjukkan log router saat muatan VPN terenkripsi
Enkripsi menyembunyikan muatan, bukan alirannya. Bandingkan apa yang dicatat gateway rumah dengan apa yang disimpan pengamat di hulu, lalu periksa penghitung Anda sendiri.
Enkripsi menentukan apakah isi sebuah paket dapat dibaca, dan tidak mengatakan apa pun tentang apakah keberadaan, ukuran, dan waktu paket akan dicatat. Router yang meneruskan terowongan terenkripsi melihat aliran yang harus dikirimkannya, dan ia dapat menghitung, memberi stempel waktu, dan mengaitkan aliran itu. Bandingkan apa yang dicatat gateway rumah dengan apa yang dicatat jaringan di hulu, dan selisihnya ternyata soal bidang mana yang punya alasan untuk disimpan masing-masing.
Perbandingan itulah yang berguna, karena kedua catatan terus-menerus dicampuradukkan dalam perdebatan privasi. Keduanya menjawab pertanyaan berbeda dan disimpan untuk jangka waktu berbeda.
Dua pengamat, dua catatan berbeda
Gateway di tepi Anda tahu antarmuka lokal mana yang dipakai aliran itu dan, ketika ia sendiri membagikan alamat, perangkat mana yang memegang alamat itu saat itu. Ia juga dapat melihat resolver mana yang Anda tanyakan dan endpoint mana yang Anda hubungi. Di hulu, lalu lintas yang sama tiba dalam bentuk diterjemahkan, sehingga jaringan lain melihat satu alamat publik yang dipakai bersama seluruh rumah, yaitu fungsi yang dijelaskan dalam RFC 3022. Tidak ada pengamat yang membaca muatan, dan tidak ada catatan yang memuat yang lain.
Total byte juga termasuk kategori ini. Penghitung volume mencatat bahwa lalu lintas lewat tanpa mencatat apa itu.
Bidang mana yang benar-benar meninggalkan jejak
Apa yang disimpan perangkat tertentu bergantung pada apa yang diaktifkan, jadi klaim universal apa pun patut dicurigai. Tabel mencantumkan bidang yang penting dalam praktik dan apa arti masing-masing.
| Field | Home gateway | Upstream observer |
|---|---|---|
| VPN endpoint address | Yes, as a destination | Yes |
| Local device mapping | Only where it assigns the address | No |
| Byte and packet counts | If statistics are enabled | Usually |
| Flow start and end | If connection logging is on | Usually |
| DNS queries | If the resolver is local | Only if the resolver is theirs |
| Payload contents | No | No |
Bacalah tabel per baris, bukan per kolom, karena setiap baris mendukung kesimpulan berbeda. Alamat endpoint menunjukkan bahwa ada terowongan, bukan apa yang dibawanya. Pemetaan perangkat lokal adalah baris yang mengikat aliran ke seseorang, dan itulah baris yang disimpan gateway rumah sementara pengamat di hulu biasanya tidak.
Baris muatan tetap sama di kedua kolom, dan itulah bagian yang benar-benar dijamin enkripsi. Semua hal lain bergantung pada pilihan pencatatan.
Router yang mengakhiri terowongan melihat lebih banyak
Gateway yang meneruskan lalu lintas terenkripsi orang lain dan router yang menjalankan terowongan itu sendiri menempati posisi berbeda. Yang kedua menyimpan status terowongan dan kuncinya, sehingga dapat melihat alamat dalam dan tujuan di dalam terowongan. Jika router itu juga menerjemahkan alamat untuk jaringan dalam, lognya dapat menghubungkan perangkat dengan tujuan dalam dalam satu catatan. Itu pengungkapan berbeda dari aliran luar, yang dihasilkan oleh kotak yang sama.
Bandingkan dengan klien laptop di belakang gateway biasa: gateway mencatat aliran luar, dan log klien sendiri menyimpan detail dalam. Menanyakan siapa memegang separuh gambar yang mana lebih produktif daripada menanyakan apakah jaringan dapat melihat menembus enkripsi. Jawaban jujur untuk pertanyaan kedua adalah tidak, dan itu juga bukan pertanyaan yang menentukan paparan Anda.
Periksa apa yang dicatat perangkat Anda sendiri
Lihat peralatan Anda sendiri sebelum menalar tentang milik orang lain. Perintah di bawah mencantumkan aturan firewall yang membawa penghitung, entri koneksi yang masih hidup, dan baris log yang menyebut koneksi. Semuanya berlaku untuk router berbasis Linux, yang menjadi asal sebagian besar firmware konsumen.
nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -lKumpulan aturan dengan penghitung memberi tahu apa yang bersedia dihitung perangkat, dan tabel koneksi menunjukkan aliran hidup alih-alih riwayat. Baris log memastikan apakah firmware sama sekali menulis peristiwa koneksi, dan itu menyelesaikan sebagian besar perdebatan. Keluaran kosong pada keempat perintah berarti kotak itu meneruskan tanpa mencatat, dan itu juga sebuah jawaban. Ulangi pemeriksaan pada klien, karena lognya menyimpan separuh gambar lainnya.
Catat fitur yang diaktifkan dan pengaturan retensi di samping keluaran. Perangkat keras yang sama dapat diam hari ini dan banyak bicara setelah pembaruan firmware yang menyalakan telemetri.