Cosa mostrano i log del router quando il payload VPN è cifrato
La cifratura nasconde il payload, non il flusso. Confrontate ciò che registra un gateway domestico con ciò che conserva un osservatore a monte, poi controllate i vostri contatori.
La cifratura decide se il contenuto di un pacchetto può essere letto e non dice nulla sul fatto che l’esistenza, la dimensione e la temporizzazione del pacchetto vengano annotate. Un router che inoltra un tunnel cifrato vede un flusso che deve consegnare, e può contarlo, aggiungervi una marca temporale e attribuirlo. Confrontate ciò che registra un gateway domestico con ciò che registra una rete a monte, e la differenza risulta essere quali campi ciascuno ha motivo di conservare.
È questo il confronto utile, perché i due registri vengono continuamente confusi nei dibattiti sulla privacy. Rispondono a domande diverse e vengono conservati per periodi diversi.
Due osservatori, due registri diversi
Il gateway al vostro bordo sa quale interfaccia locale ha usato il flusso e, quando distribuisce lui stesso gli indirizzi, quale dispositivo aveva quell’indirizzo in quel momento. Può anche vedere quale resolver avete interrogato e quale endpoint avete contattato. A monte, lo stesso traffico arriva tradotto, così un’altra rete vede un indirizzo pubblico condiviso da tutta la famiglia, che è la funzione descritta in RFC 3022. Nessuno dei due osservatori ha letto il payload, e nessuno dei due registri contiene l’altro.
Anche i totali di byte rientrano in questa categoria. Un contatore di volume registra che il traffico è passato senza registrare che cosa fosse.
Quali campi lasciano davvero una traccia
Ciò che un dato dispositivo memorizza dipende da ciò che è abilitato, quindi ogni affermazione universale merita sospetto. La tabella elenca i campi che contano in pratica e che cosa implica ciascuno.
| Field | Home gateway | Upstream observer |
|---|---|---|
| VPN endpoint address | Yes, as a destination | Yes |
| Local device mapping | Only where it assigns the address | No |
| Byte and packet counts | If statistics are enabled | Usually |
| Flow start and end | If connection logging is on | Usually |
| DNS queries | If the resolver is local | Only if the resolver is theirs |
| Payload contents | No | No |
Leggete la tabella per righe anziché per colonne, perché ogni riga sostiene una conclusione diversa. L’indirizzo dell’endpoint mostra che esiste un tunnel, non che cosa trasportava. La mappatura dei dispositivi locali è la riga che lega un flusso a una persona, ed è la riga che un gateway domestico conserva mentre un osservatore a monte di solito no.
La riga del payload resta la stessa in entrambe le colonne, ed è la parte che la cifratura garantisce davvero. Tutto il resto dipende dalle scelte di registrazione.
Un router che termina il tunnel vede di più
Un gateway che inoltra il traffico cifrato altrui e un router che gestisce lui stesso il tunnel occupano posizioni diverse. Il secondo conserva lo stato del tunnel e le chiavi, e può quindi vedere indirizzi interni e le destinazioni dentro il tunnel. Se quel router traduce anche gli indirizzi per la rete interna, i suoi log possono unire un dispositivo a una destinazione interna in un solo registro. È una divulgazione diversa da quella del flusso esterno, prodotta dallo stesso apparecchio.
Confrontatelo con un client portatile dietro un gateway semplice: il gateway registra il flusso esterno, e il log del client conserva il dettaglio interno. Chiedere chi detiene quale metà dell’immagine è più produttivo che chiedere se la rete riesca a vedere attraverso la cifratura. La risposta onesta alla seconda domanda è no, e non è nemmeno la domanda che decide la vostra esposizione.
Controllate che cosa registra il vostro dispositivo
Guardate il vostro equipaggiamento prima di ragionare su quello altrui. I comandi seguenti elencano regole del firewall che portano contatori, voci di connessione ancora attive e righe di log che menzionano una connessione. Si applicano a un router basato su Linux, da cui discende la maggior parte del firmware consumer.
nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -lUn insieme di regole con contatori vi dice che cosa l’apparecchio è disposto a contare, e la tabella delle connessioni mostra flussi attivi anziché la cronologia. Le righe di log confermano se il firmware scrive anche solo eventi di connessione, e questo risolve la maggior parte della discussione. Un’uscita vuota su tutti e quattro i comandi significa che l’apparecchio inoltra senza registrare, e anche questa è una risposta. Ripetete il controllo sul client, perché il suo log conserva l’altra metà dell’immagine.
Annotate le funzioni abilitate e l’impostazione di conservazione accanto alle uscite. Lo stesso hardware può essere silenzioso oggi e loquace dopo un aggiornamento del firmware che attiva la telemetria.