Kan bandbreiddteljarar seie kva sider du vitja via VPN?

Du opnar trafikksida til rutaren, eller dashbordet til ein VPN-leverandør, og der står eit byttetal per eining med ein graf ved sida av. Det er freistande å lese grafen som ei nettlesarhistorie. Det er han ikkje, og grunnen er strukturell snarare enn juridisk. Ein teljar summerer storleikar, medan ei historie registrerer destinasjonar og innhald, og berre det siste fortel kvar nokon drog.

Byrja med skjermen du ser på

Før du tolkar eit tal, finn ut kva som produserte det. Eit totaltal per eining på ein ruter kjem vanlegvis frå teljarar på det fysiske grensesnittet, eit totaltal i ein VPN-klient kjem frå tunnelen, og eit leverandørpanel kjem frå rekneskapen hos motparten. Kvar tel dei ein annan del av same økta. To panel som viser ulike tal for same time, har vanlegvis båe rett.

Intervallet betyr like mykje som kjelda. Eit livstidstal, ei dagleg oppsummering og ein sanntidsfart er tre ulike målingar, og berre sanntidsfarten har oppløysing nok til å passe med éi handling.

Skriv ned kjelda og intervallet før du skriv ned ein konklusjon.

Teljarar målar lag, ikkje sider

På ein WireGuard-peer er overføringsteljarane i wg show totaltal for den peeren, med kryptert nyttelast inkludert. Statusutskrifta til OpenVPN rapporterer byte per klient på sitt eige lag. På verten tel tun-grensesnittet indre IP-pakkar medan den fysiske adapteren tel ytre UDP-pakkar, så dei to skil seg med overheaden frå innkapslinga og med alt anna som deler lenka.

Retransmisjonar blæs opp eit totaltal utan at nytt innhald kjem inn, og ein synkronisering i bakgrunnen kan dominere ein time medan brukaren les rein tekst.

Difor tyder eit stort totaltal på ein datatung aktivitet og ingenting meir spesifikt. Storleiken på ei nedlasta fil og deltaet til teljaren heng saman, men dei er sjeldan like.

Kva eit totaltal kan og ikkje kan grunngje

Eit byttetal kan ikkje namngje ein nettstad, fordi namn og URL-ar ligg inne i TLS- eller QUIC-økter som teljaren aldri ser inn i. Det kan ikkje skilje ein videostraum frå ein stor sikkerheitskopi, eller lastinga av ei side frå ei gjenteken annonseførespurnad. Det det kan grunngje, er ein påstand om volum og tid: denne eininga flytta så mykje data i dette vindauget.

Å gjere det til ein påstand om ein person krev to ingrediensar til, ein identitet og ein korrelasjon.

Dokumentet RFC 6973 privacy considerations forklarar kvifor den kombinasjonen betyr noko, og det er også difor ein grundig rapport skil det observerte frå det utleia. Viss konklusjonen treng ordet fordi, er teljaren åleine ikkje nok prov.

Tidspunkt og identitet endrar svaret

Knyt ein teljar til ein namngjeven brukar og eit presist intervall, og han blir eit anna objekt.

Då kan du leggje han ved sida av andre observasjonar: ei innloggingspost, ei DNS-førespurnad, ei økt på eit anna system. Teljaren avdekte ikkje destinasjonen, men han hjelpte nokon som alt hadde ein hypotese med å stadfeste han. Kryptering vernar innhald og namn under transport, og ho gøymer ikkje at ein straum fanst, kor stor han var eller når han byrja.

Det er den ærlege grensa: mønster er synlege, meining er det ikkje.

Bestem kva du held på før du samlar inn

Viss kravet er kapasitetsplanlegging, svarar eit grovt dagleg aggregat på det og kostar lite. Viss kravet er historie per brukar, sei det eksplisitt, namngje felta og oppbevaringsvindauget, og handsam avgjerda som policy i staden for som ein dashbordfunksjon. Å samle finmaska historie fordi panelet støttar det, er korleis oppbevaring veks utan at nokon bestemmer.

Ved feilsøking, samanlikn teljaren med handlinga du testar. Eit jamt stigande totaltal provar at trafikk flyt, ikkje at programmet verkar.

Ein flat teljar i ei økt som tydeleg verkar, betyr vanlegvis at du les ein bufra verdi eller feil grensesnitt. Namngje dei lagra felta og vindauget, så har neste revisjon noko konkret å kontrollere.