O que os registos do router mostram quando o payload da VPN está cifrado
A cifra esconde o payload, não o fluxo. Compare o que uma gateway doméstica registra com o que um observador a montante guarda, e depois verifique os seus próprios contadores.
A cifra decide se o conteúdo de um pacote pode ser lido, e não diz nada sobre se a existência, o tamanho e o momento do pacote serão registados. Um router que encaminha um túnel cifrado vê um fluxo que tem de entregar, e pode contá-lo, marcá-lo com hora e atribuí-lo. Compare o que uma gateway doméstica registra com o que uma rede a montante registra, e a diferença acaba por ser quais campos cada uma tem motivo para guardar.
É essa a comparação útil, porque os dois registos são constantemente confundidos nos debates sobre privacidade. Respondem a perguntas diferentes e são conservados por períodos diferentes.
Dois observadores, dois registos diferentes
A gateway na sua margem sabe que interface local o fluxo usou e, quando distribui ela própria os endereços, que dispositivo tinha esse endereço naquele momento. Também pode ver que resolvedor consultou e que endpoint contactou. A montante, o mesmo tráfego chega traduzido, pelo que outra rede vê um endereço público partilhado por toda a casa, que é a função descrita em RFC 3022. Nenhum dos observadores leu o payload, e nenhum dos registos contém o outro.
Os totais de bytes também pertencem a esta categoria. Um contador de volume registra que passou tráfego sem registar o que era.
Que campos deixam realmente rasto
O que um determinado dispositivo armazena depende do que está ativado, pelo que qualquer afirmação universal merece desconfiança. A tabela lista os campos que importam na prática e o que cada um implica.
| Field | Home gateway | Upstream observer |
|---|---|---|
| VPN endpoint address | Yes, as a destination | Yes |
| Local device mapping | Only where it assigns the address | No |
| Byte and packet counts | If statistics are enabled | Usually |
| Flow start and end | If connection logging is on | Usually |
| DNS queries | If the resolver is local | Only if the resolver is theirs |
| Payload contents | No | No |
Leia a tabela por linhas e não por colunas, porque cada linha sustenta uma conclusão diferente. O endereço do endpoint mostra que existe um túnel, não o que transportava. O mapeamento de dispositivos locais é a linha que liga um fluxo a uma pessoa, e é a linha que uma gateway doméstica guarda enquanto um observador a montante normalmente não.
A linha do payload é a mesma em ambas as colunas, e é essa a parte que a cifra garante de facto. Todo o resto depende das escolhas de registo.
Um router que termina o túnel vê mais
Uma gateway que encaminha o tráfego cifrado de outra pessoa e um router que executa ele próprio o túnel ocupam posições diferentes. O segundo guarda o estado do túnel e as chaves, e pode por isso ver endereços internos e os destinos dentro do túnel. Se esse router também traduz endereços para a rede interna, os seus registos podem juntar um dispositivo a um destino interno num só registo. É uma divulgação diferente da do fluxo externo, produzida pela mesma caixa.
Compare isso com um cliente portátil atrás de uma gateway simples: a gateway registra o fluxo externo, e o registo do próprio cliente guarda o detalhe interno. Perguntar quem tem que metade da imagem é mais produtivo do que perguntar se a rede consegue ver através da cifra. A resposta honesta à segunda pergunta é não, e também não é essa a pergunta que decide a sua exposição.
Verifique o que o seu próprio dispositivo registra
Olhe para o seu próprio equipamento antes de raciocinar sobre o dos outros. Os comandos abaixo listam regras de firewall com contadores, entradas de ligação ainda vivas e linhas de registo que mencionam uma ligação. Aplicam-se a um router baseado em Linux, de que descende a maior parte do firmware de consumo.
nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -lUm conjunto de regras com contadores diz-lhe o que o dispositivo está disposto a contar, e a tabela de ligações mostra fluxos vivos em vez de histórico. As linhas de registo confirmam se o firmware escreve sequer eventos de ligação, e isso resolve a maior parte da discussão. Saída vazia nos quatro comandos significa que a caixa encaminha sem registar, e isso também é uma resposta. Repita a verificação no cliente, porque o registo dele guarda a outra metade da imagem.
Anote as funcionalidades ativadas e a definição de retenção junto às saídas. O mesmo hardware pode estar calado hoje e falador depois de uma atualização de firmware que ative a telemetria.