Wat routerlogboeken laten zien wanneer de VPN-payload versleuteld is
Versleuteling verbergt de payload, niet de stroom. Vergelijk wat een thuisgateway vastlegt met wat een observator stroomopwaarts bewaart, en controleer daarna je eigen tellers.
Versleuteling bepaalt of de inhoud van een pakket leesbaar is, en zegt niets over of het bestaan, de grootte en de timing van het pakket worden vastgelegd. Een router die een versleutelde tunnel doorstuurt, ziet een stroom die hij moet afleveren, en hij kan die stroom tellen, van een tijdstempel voorzien en toeschrijven. Vergelijk wat een thuisgateway vastlegt met wat een netwerk stroomopwaarts vastlegt, en het verschil blijkt te gaan over welke velden elk ervan een reden heeft om te bewaren.
Die vergelijking is de nuttige, omdat de twee registraties in privacydebatten voortdurend door elkaar worden gehaald. Ze beantwoorden verschillende vragen en worden verschillende periodes bewaard.
Twee observatoren, twee verschillende registraties
De gateway aan je rand weet welke lokale interface de stroom gebruikte en, wanneer hij zelf adressen uitgeeft, welk apparaat dat adres op dat moment had. Hij kan ook zien welke resolver je hebt bevraagd en welk eindpunt je hebt benaderd. Stroomopwaarts komt hetzelfde verkeer vertaald aan, zodat een ander netwerk één openbaar adres ziet dat het hele huishouden deelt, wat de functie is die in RFC 3022 wordt beschreven. Geen van beide observatoren las de payload, en geen van beide registraties bevat de andere.
Byte-totalen vallen ook in deze categorie. Een volumeteller legt vast dat er verkeer langskwam zonder vast te leggen wat het was.
Welke velden laten werkelijk een spoor achter
Wat een bepaald apparaat opslaat, hangt af van wat er is ingeschakeld, dus elke algemene bewering verdient wantrouwen. De tabel somt de velden op die in de praktijk ertoe doen en wat elk ervan betekent.
| Field | Home gateway | Upstream observer |
|---|---|---|
| VPN endpoint address | Yes, as a destination | Yes |
| Local device mapping | Only where it assigns the address | No |
| Byte and packet counts | If statistics are enabled | Usually |
| Flow start and end | If connection logging is on | Usually |
| DNS queries | If the resolver is local | Only if the resolver is theirs |
| Payload contents | No | No |
Lees de tabel per rij in plaats van per kolom, omdat elke rij een andere conclusie ondersteunt. Het eindpuntadres toont dat er een tunnel bestaat, niet wat die vervoerde. Lokale apparaattoewijzing is de rij die een stroom aan een persoon koppelt, en dat is de rij die een thuisgateway bewaart terwijl een observator stroomopwaarts dat gewoonlijk niet doet.
De payloadrij blijft in beide kolommen gelijk, en dat is het deel dat versleuteling werkelijk garandeert. Al het andere hangt af van logkeuzes.
Een router die de tunnel beëindigt, ziet meer
Een gateway die andermans versleutelde verkeer doorstuurt en een router die de tunnel zelf draait, bekleden verschillende posities. De tweede bewaart tunnelstatus en de sleutels ervoor, en kan daardoor interne adressen en de bestemmingen in de tunnel zien. Als die router ook adressen voor het interne netwerk vertaalt, kunnen zijn logboeken een apparaat aan een interne bestemming in één registratie koppelen. Dat is een andere onthulling dan de buitenste stroom, geproduceerd door dezelfde doos.
Vergelijk dat met een laptopclient achter een gewone gateway: de gateway registreert de buitenste stroom, en het eigen logboek van de client bewaart het interne detail. Vragen wie welke helft van het beeld heeft, is productiever dan vragen of het netwerk door de versleuteling heen kan kijken. Het eerlijke antwoord op de tweede vraag is nee, en het is ook niet de vraag die je blootstelling bepaalt.
Controleer wat je eigen apparaat registreert
Kijk naar je eigen apparatuur voordat je over die van anderen redeneert. De opdrachten hieronder tonen firewallregels met tellers, nog levende verbindingsregels en logregels die een verbinding noemen. Ze gelden voor een op Linux gebaseerde router, waarvan het meeste consumentenfirmware afstamt.
nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -lEen regelset met tellers vertelt je wat het apparaat bereid is te tellen, en de verbindingstabel toont levende stromen in plaats van geschiedenis. Logregels bevestigen of de firmware überhaupt verbindingsgebeurtenissen schrijft, en dat beslecht het grootste deel van de discussie. Lege uitvoer bij alle vier opdrachten betekent dat de doos doorstuurt zonder te registreren, en dat is ook een antwoord. Herhaal de controle op de client, omdat zijn logboek de andere helft van het beeld bewaart.
Noteer de ingeschakelde functies en de bewaarinstelling naast de uitvoer. Dezelfde hardware kan vandaag stil zijn en praatgraag na een firmware-update die telemetrie aanzet.