Pot contoarele de trafic să arate ce site-uri ai vizitat printr-un VPN?

Deschizi pagina de trafic a routerului, sau panoul unui furnizor de VPN, și acolo este un total de octeți pe dispozitiv, cu un grafic alături. E tentant să citești graficul ca pe un istoric de navigare. Nu este, iar motivul este structural, nu juridic. Un contor adună dimensiuni, în timp ce un istoric înregistrează destinații și conținut, și doar al doilea îți spune unde a mers cineva.

Începe cu ecranul pe care îl citești

Înainte de a interpreta un număr, află ce l-a produs. Un total pe dispozitiv la un router vine de obicei din contoarele interfeței fizice, totalul unui client VPN vine din tunelul său, iar un panou de furnizor vine din contabilizarea de la celălalt capăt. Fiecare numără o altă felie a aceleiași sesiuni. Două panouri cu numere diferite pentru aceeași oră sunt de obicei ambele corecte.

Intervalul contează la fel de mult ca sursa. Un total pe toată durata de viață, o agregare zilnică și o rată în timp real sunt trei măsurători diferite, și doar rata în timp real are suficientă rezoluție ca să fie aliniată cu o singură acțiune.

Notează sursa și intervalul înainte de a nota o concluzie.

Contoarele măsoară straturi, nu pagini

La un peer WireGuard, contoarele de transfer din wg show sunt totaluri pentru acel peer, inclusiv conținutul criptat. Ieșirea de stare a OpenVPN raportează octeți pe client la propriul strat. Pe gazdă, interfața tun numără pachete IP interioare, iar adaptorul fizic numără pachete UDP exterioare, așa că cele două diferă prin costul de încapsulare și prin tot altceva care împarte legătura.

Retransmisiile umflă un total fără ca vreun conținut nou să sosească, iar o sincronizare în fundal poate domina o oră în timp ce utilizatorul citește text simplu.

De aceea un total mare sugerează o activitate intensă în date și nimic mai specific. Dimensiunea unui fișier descărcat și delta contorului sunt legate, dar rareori egale.

Ce poate și ce nu poate susține un total

Un total de octeți nu poate numi un site, pentru că numele și URL-urile trăiesc în sesiuni TLS sau QUIC în care contorul nu se uită niciodată. Nu poate separa un flux video de o copie de siguranță mare, nici încărcarea unei pagini de o buclă de reîmprospătare publicitară. Ce poate susține este o afirmație despre volum și timp: acest dispozitiv a mutat atâția octeți în această fereastră.

Ca să transformi asta într-o afirmație despre o persoană sunt necesare două ingrediente în plus, o identitate și o corelație.

Documentul RFC 6973 privacy considerations explică de ce contează această combinație, și tot de aceea un raport atent separă ce s-a observat de ce s-a dedus. Dacă concluzia are nevoie de cuvântul pentru că, contorul singur nu este dovadă suficientă.

Momentul și identitatea schimbă răspunsul

Atașează un contor la un utilizator numit și la un interval precis și devine alt obiect.

Poți atunci să îl aliniezi cu alte observații: o înregistrare de autentificare, o interogare DNS, o sesiune pe alt sistem. Contorul nu a dezvăluit destinația, dar a ajutat pe cineva care avea deja o ipoteză să o confirme. Criptarea protejează conținutul și numele în tranzit și nu ascunde că a existat un flux, cât de mare era sau când a început.

Asta este granița onestă: modelele sunt vizibile, sensul nu.

Decide ce păstrezi înainte de a colecta

Dacă cerința este planificarea capacității, o agregare zilnică grosieră răspunde la ea și costă puțin. Dacă cerința este istoric pe utilizator, spune-o explicit, numește câmpurile și fereastra de păstrare, și tratează decizia ca politică, nu ca funcție de panou. Colectarea unui istoric detaliat pentru că panoul îl suportă este felul în care păstrarea crește fără ca cineva să decidă.

Pentru depanare, compară contorul cu acțiunea pe care o testezi. Un total care crește constant dovedește că traficul curge, nu că aplicația funcționează.

Un contor plat în timpul unei sesiuni care funcționează evident înseamnă de obicei că citești o valoare din cache sau interfața greșită. Numește câmpurile păstrate și fereastra, și următorul audit va avea ce verifica concret.