Kunnen bandbreedtetellers zien welke sites je via een VPN bezocht?

Je opent de verkeerspagina van de router, of het dashboard van een VPN-provider, en er staat een bytetotaal per apparaat met een grafiek ernaast. Het is verleidelijk die grafiek als een surfgeschiedenis te lezen. Dat is het niet, en de reden is structureel, niet juridisch. Een teller telt groottes op, terwijl een geschiedenis bestemmingen en inhoud vastlegt, en alleen het tweede vertelt je waar iemand heen ging.

Begin bij het scherm dat je voor je hebt

Voordat je een getal interpreteert, zoek uit wat het heeft geproduceerd. Een totaal per apparaat op een router komt meestal van tellers op de fysieke interface, een totaal in een VPN-client komt uit zijn tunnel, en een providerpaneel komt uit de boekhouding aan de andere kant. Elk telt een ander deel van dezelfde sessie. Twee panelen met verschillende getallen voor hetzelfde uur hebben meestal allebei gelijk.

Het interval is net zo belangrijk als de bron. Een totaal over de hele levensduur, een dagelijkse optelling en een live snelheid zijn drie verschillende metingen, en alleen de live snelheid heeft genoeg resolutie om naast een enkele handeling te leggen.

Schrijf de bron en het interval op voordat je een conclusie opschrijft.

Tellers meten lagen, geen pagina's

Op een WireGuard-peer zijn de transfertellers in wg show totalen voor die peer, met de versleutelde payload erbij. De statusuitvoer van OpenVPN rapporteert bytes per client op zijn eigen laag. Op de host telt de tun-interface inwendige IP-pakketten, terwijl de fysieke adapter uitwendige UDP-pakketten telt, dus die twee verschillen door de overhead van inkapseling en door al het andere dat de link deelt.

Hertransmissies blazen een totaal op zonder dat er nieuwe inhoud aankomt, en een synchronisatie op de achtergrond kan een uur domineren terwijl de gebruiker platte tekst leest.

Daarom wijst een groot totaal op een dataintensieve activiteit en op niets specifieker. De grootte van een gedownload bestand en de delta van de teller hangen samen, maar ze zijn zelden gelijk.

Wat een totaal wel en niet kan onderbouwen

Een bytetotaal kan geen site noemen, want namen en URL's leven in TLS- of QUIC-sessies die de teller nooit inziet. Het kan geen videostream van een grote back-up scheiden, of een paginalading van een verversingslus van advertenties. Wat het wel kan onderbouwen is een uitspraak over volume en tijd: dit apparaat heeft in dit venster zoveel data verplaatst.

Om daar een uitspraak over een persoon van te maken zijn twee extra ingrediënten nodig: een identiteit en een correlatie.

Het document RFC 6973 privacy considerations legt uit waarom die combinatie ertoe doet, en daarom scheidt een zorgvuldig rapport wat is waargenomen van wat is afgeleid. Als de conclusie het woord omdat nodig heeft, is de teller alleen niet genoeg bewijs.

Timing en identiteit veranderen het antwoord

Koppel een teller aan een bekende gebruiker en een precies interval, en het wordt een ander object.

Dan kun je het naast andere waarnemingen leggen: een loginrecord, een DNS-query, een sessie op een ander systeem. De teller onthulde de bestemming niet, maar hielp iemand die al een hypothese had die te bevestigen. Versleuteling beschermt inhoud en namen tijdens transport, en verbergt niet dat er een stroom bestond, hoe groot die was of wanneer die begon.

Dat is de eerlijke grens: patronen zijn zichtbaar, betekenis niet.

Bepaal wat je bewaart voordat je verzamelt

Is de eis capaciteitsplanning, dan volstaat een grof dagelijks aggregaat en kost het weinig. Is de eis geschiedenis per gebruiker, zeg dat dan expliciet, benoem de velden en de bewaartermijn, en behandel de beslissing als beleid in plaats van als dashboardfunctie. Fijnmazige geschiedenis verzamelen omdat het paneel het ondersteunt, is hoe bewaring groeit zonder dat iemand besluit.

Vergelijk bij het oplossen van problemen de teller met de handeling die je test. Een gestaag stijgend totaal bewijst dat er verkeer stroomt, niet dat de toepassing werkt.

Een vlakke teller tijdens een sessie die duidelijk werkt, betekent meestal dat je een gecachte waarde of de verkeerde interface leest. Benoem de bewaarde velden en het venster, dan heeft de volgende audit iets concreets om te controleren.