Ką rodo maršrutizatoriaus žurnalai, kai VPN naudingoji apkrova užšifruota

Šifravimas nusprendžia, ar galima perskaityti paketo turinį, ir nieko nesako apie tai, ar bus užrašyta paketo egzistavimas, dydis ir laikas. Maršrutizatorius, perduodantis užšifruotą tunelį, mato srautą, kurį turi pristatyti, ir gali jį skaičiuoti, laiko žyma pažymėti ir priskirti. Palyginkite, ką įrašo namų tarpinė, su tuo, ką įrašo tinklas aukščiau, ir paaiškės, kad skirtumas yra tai, kuriuos laukus kiekvienas turi priežastį saugoti.

Būtent šis palyginimas ir yra naudingas, nes privatumo diskusijose abu įrašai nuolat supainiojami. Jie atsako į skirtingus klausimus ir saugomi skirtingą laiką.

Du stebėtojai, du skirtingi įrašai

Jūsų krašto tarpinė žino, kurią vietinę sąsają naudojo srautas, o kai pati dalija adresus – kuris įrenginys tuo metu turėjo tą adresą. Ji taip pat gali matyti, kurio sprendėjo klausėte ir kurį galinį tašką pasiekėte. Aukščiau tas pats srautas atkeliauja išverstas, todėl kitas tinklas mato vieną viešą adresą, kurį dalijasi visi namai, ir tai yra RFC 3022 aprašyta funkcija. Nė vienas stebėtojas neskaitė apkrovos, ir nė viename įraše nėra kito.

Baitų sumos taip pat priklauso šiai kategorijai. Apimties skaitiklis įrašo, kad srautas praėjo, neužrašydamas, kas tai buvo.

Kurie laukai tikrai palieka pėdsaką

Ką konkretus įrenginys saugo, priklauso nuo to, kas įjungta, todėl bet koks universalus teiginys vertas nepasitikėjimo. Lentelėje išvardyti praktiškai svarbūs laukai ir ką kiekvienas jų reiškia.

Lentelę skaitykite eilutėmis, o ne stulpeliais, nes kiekviena eilutė pagrindžia skirtingą išvadą. Galinio taško adresas rodo, kad tunelis egzistuoja, o ne ką jis gabeno. Vietinių įrenginių susiejimas yra eilutė, kuri susieja srautą su asmeniu, ir ją saugo namų tarpinė, o aukštesnis stebėtojas paprastai nesaugo.

Apkrovos eilutė abiejuose stulpeliuose yra tokia pati, ir tai yra dalis, kurią šifravimas tikrai garantuoja. Visa kita priklauso nuo žurnalo nustatymų.

Maršrutizatorius, kuris užbaigia tunelį, mato daugiau

Tarpinė, perduodanti svetimą užšifruotą srautą, ir maršrutizatorius, kuris pats valdo tunelį, užima skirtingas pozicijas. Antrasis saugo tunelio būseną ir jo raktus, todėl gali matyti vidinius adresus ir paskirties vietas tunelio viduje. Jei tas maršrutizatorius taip pat verčia adresus vidiniam tinklui, jo žurnalai viename įraše gali susieti įrenginį su vidine paskirties vieta. Tai kitoks atskleidimas nei išorinis srautas, kurį sukuria ta pati dėžė.

Palyginkite tai su nešiojamojo kompiuterio klientu už paprastos tarpinės: tarpinė įrašo išorinį srautą, o paties kliento žurnalas saugo vidinę informaciją. Klausti, kas turi kurią paveikslo pusę, yra produktyviau nei klausti, ar tinklas mato pro šifravimą. Sąžiningas atsakymas į antrą klausimą yra ne, ir tai taip pat nėra klausimas, kuris nulemia jūsų ekspoziciją.

Patikrinkite, ką įrašo jūsų įrenginys

Pažiūrėkite į savo įrangą prieš svarstydami apie svetimą. Toliau pateiktos komandos išvardija ugniasienės taisykles su skaitikliais, dar gyvus ryšio įrašus ir žurnalo eilutes, kuriose minimas ryšys. Jos taikomos Linux pagrindu veikiančiam maršrutizatoriui, iš kurio kilo didžioji dalis vartotojiškos programinės įrangos.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Taisyklių rinkinys su skaitikliais pasako, ką įrenginys pasirengęs skaičiuoti, o ryšių lentelė rodo gyvus srautus, o ne istoriją. Žurnalo eilutės patvirtina, ar programinė įranga apskritai rašo ryšio įvykius, ir tai išsprendžia didžiąją dalį ginčo. Tuščia visų keturių komandų išvestis reiškia, kad dėžė perduoda neįrašydama, ir tai taip pat atsakymas. Pakartokite patikrinimą kliente, nes jo žurnalas saugo kitą paveikslo pusę.

Užsirašykite įjungtas funkcijas ir saugojimo nuostatą šalia išvesčių. Ta pati techninė įranga šiandien gali tylėti, o po programinės įrangos atnaujinimo, įjungiančio telemetriją, tapti kalbi.