Os contadores de tráfego revelam que sites visitou numa VPN?

Abre a página de tráfego do router, ou o painel de um fornecedor de VPN, e lá está um total de bytes por dispositivo com um gráfico ao lado. É tentador ler esse gráfico como um histórico de navegação. Não é, e a razão é estrutural e não jurídica. Um contador soma tamanhos, enquanto um histórico registra destinos e conteúdo, e só o segundo diz para onde alguém foi.

Comece pelo ecrã que está a ler

Antes de interpretar um número, descubra o que o produziu. Um total por dispositivo num router vem normalmente dos contadores da interface física, o total de um cliente VPN vem do seu túnel, e um painel de fornecedor vem da contabilização no par remoto. Cada um conta uma fatia diferente da mesma sessão. Dois painéis com números diferentes para a mesma hora estão geralmente ambos corretos.

O intervalo importa tanto quanto a fonte. Um total de vida útil, um agregado diário e uma taxa em direto são três medições diferentes, e só a taxa em direto tem resolução suficiente para se alinhar com uma ação.

Anote a fonte e o intervalo antes de anotar uma conclusão.

Os contadores medem camadas, não páginas

Num par WireGuard, os contadores de transferência em wg show são totais para esse par, incluindo a carga útil cifrada. A saída de estado do OpenVPN reporta bytes por cliente na sua própria camada. No anfitrião, a interface tun conta pacotes IP internos enquanto o adaptador físico conta pacotes UDP externos, pelo que os dois diferem pelo custo da encapsulação e por tudo o resto que partilha a ligação.

As retransmissões inflam um total sem que chegue conteúdo novo, e uma sincronização em segundo plano pode dominar uma hora enquanto o utilizador lê texto simples.

É por isso que um total elevado sugere uma atividade com muitos dados e nada mais específico. O tamanho de um ficheiro descarregado e o delta do contador estão relacionados, mas raramente são iguais.

O que um total pode e não pode sustentar

Um total de bytes não pode nomear um site, porque nomes e URLs vivem dentro de sessões TLS ou QUIC que o contador nunca inspeciona. Não pode separar um fluxo de vídeo de uma cópia de segurança grande, nem o carregamento de uma página de um ciclo de atualização publicitária. O que pode sustentar é uma afirmação sobre volume e tempo: este dispositivo moveu esta quantidade de dados nesta janela.

Transformar isso numa afirmação sobre uma pessoa exige dois ingredientes extra, uma identidade e uma correlação.

O documento RFC 6973 privacy considerations explica porque é que essa combinação importa, e é também por isso que um relatório cuidadoso separa o que foi observado do que foi inferido. Se a conclusão precisa da palavra porque, o contador sozinho não é prova suficiente.

O momento e a identidade mudam a resposta

Associe um contador a um utilizador identificado e a um intervalo preciso e ele torna-se outro objeto.

Pode então alinhá-lo com outras observações: um registo de início de sessão, uma consulta DNS, uma sessão noutro sistema. O contador não revelou o destino, mas ajudou alguém que já tinha uma hipótese a confirmá-la. A cifra protege o conteúdo e os nomes em trânsito, e não esconde que existiu um fluxo, quão grande era ou quando começou.

Essa é a fronteira honesta: os padrões são visíveis, o significado não.

Decida o que retém antes de recolher

Se o requisito é planeamento de capacidade, um agregado diário grosseiro responde a isso e custa pouco. Se o requisito é histórico por utilizador, diga-o explicitamente, nomeie os campos e a janela de retenção, e trate a decisão como política em vez de funcionalidade de painel. Recolher histórico detalhado porque o painel o suporta é como a retenção cresce sem que ninguém decida.

Para resolução de problemas, compare o contador com a ação que está a testar. Um total a subir de forma constante prova que o tráfego flui, não que a aplicação funciona.

Um contador parado durante uma sessão que claramente funciona significa normalmente que está a ler um valor em cache ou a interface errada. Nomeie os campos retidos e a janela, e a próxima auditoria terá algo concreto para verificar.