Ko rāda maršrutētāja žurnāli, kad VPN lietderīgā slodze ir šifrēta

Šifrēšana izlemj, vai paketes saturu var nolasīt, un neko nepasaka par to, vai tiks pierakstīta paketes esamība, izmērs un laiks. Maršrutētājs, kas pārsūta šifrētu tuneli, redz plūsmu, kas tam jāpiegādā, un var to skaitīt, laika zīmogu pievienot un attiecināt. Salīdziniet, ko ieraksta mājas vārteja, ar to, ko ieraksta tīkls augšup, un atšķirība izrādās tajā, kuras jomas katram ir pamats glabāt.

Tieši šis salīdzinājums ir noderīgais, jo privātuma diskusijās abus ierakstus nemitīgi jauc. Tie atbild uz dažādiem jautājumiem un tiek glabāti dažādu laiku.

Divi novērotāji, divi dažādi ieraksti

Vārteja jūsu malā zina, kuru vietējo saskarni plūsma izmantoja, un, kad tā pati izdala adreses, kurai ierīcei tajā brīdī bija šī adrese. Tā var arī redzēt, kuru atrisinātāju jūs uzjautājāt un kuru galapunktu sasniedzāt. Augšup tas pats trafiks ierodas pārtulkots, tāpēc cits tīkls redz vienu publisku adresi, ko dala visa mājsaimniecība, un tā ir RFC 3022 aprakstītā funkcija. Neviens novērotājs nelasīja slodzi, un nevienā ierakstā nav otra.

Baitu kopsummas arī pieder šai kategorijai. Apjoma skaitītājs ieraksta, ka trafiks ir gājis garām, nepierakstot, kas tas bija.

Kuras jomas patiešām atstāj pēdas

Tas, ko konkrēta ierīce glabā, ir atkarīgs no tā, kas ir iespējots, tāpēc jebkurš universāls apgalvojums ir pelnījis aizdomas. Tabulā ir uzskaitītas praksē svarīgās jomas un tas, ko katra nozīmē.

Lasiet tabulu pa rindām, nevis pa kolonnām, jo katra rinda pamato citu secinājumu. Galapunkta adrese parāda, ka tunelis pastāv, nevis ko tas pārvadāja. Vietējo ierīču kartēšana ir rinda, kas saista plūsmu ar personu, un to glabā mājas vārteja, bet augšup esošais novērotājs parasti neglabā.

Slodzes rinda abās kolonnās ir vienāda, un tā ir daļa, ko šifrēšana patiešām garantē. Viss pārējais ir atkarīgs no žurnālēšanas izvēlēm.

Maršrutētājs, kas izbeidz tuneli, redz vairāk

Vārteja, kas pārsūta cita šifrēto trafiku, un maršrutētājs, kas pats pārvalda tuneli, ieņem atšķirīgas pozīcijas. Otrais glabā tuneļa stāvokli un tā atslēgas, tāpēc var redzēt iekšējās adreses un galamērķus tuneļa iekšienē. Ja šis maršrutētājs arī tulko adreses iekšējam tīklam, tā žurnāli vienā ierakstā var saistīt ierīci ar iekšēju galamērķi. Tā ir citāda atklāšana nekā ārējā plūsma, un to rada tā pati kaste.

Salīdziniet to ar portatīvā datora klientu aiz vienkāršas vārtejas: vārteja ieraksta ārējo plūsmu, un paša klienta žurnāls glabā iekšējo informāciju. Jautāt, kam pieder kura attēla puse, ir produktīvāk nekā jautāt, vai tīkls redz cauri šifrēšanai. Godīgā atbilde uz otro jautājumu ir nē, un tas arī nav jautājums, kas nosaka jūsu pakļautību.

Pārbaudiet, ko ieraksta jūsu pašu ierīce

Apskatiet savu aprīkojumu, pirms spriežat par cita. Tālāk minētās komandas uzskaita ugunsmūra noteikumus ar skaitītājiem, vēl dzīvus savienojumu ierakstus un žurnāla rindas, kurās minēts savienojums. Tās attiecas uz Linux balstītu maršrutētāju, no kura cēlies lielākais daļa patērētāju programmaparatūras.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Noteikumu kopums ar skaitītājiem pasaka, ko ierīce ir gatava skaitīt, un savienojumu tabula rāda dzīvas plūsmas, nevis vēsturi. Žurnāla rindas apstiprina, vai programmaparatūra vispār raksta savienojumu notikumus, un tas atrisina lielāko daļu strīda. Tukša visu četru komandu izvade nozīmē, ka kaste pārsūta bez ierakstīšanas, un tas arī ir atbilde. Atkārtojiet pārbaudi klientā, jo tā žurnāls glabā otru attēla pusi.

Pierakstiet iespējotās funkcijas un glabāšanas iestatījumu blakus izvadēm. Tā pati aparatūra šodien var būt klusa, bet pēc programmaparatūras atjauninājuma, kas ieslēdz telemetriju, kļūt runīga.