Ce arată jurnalele routerului când încărcătura VPN este criptată

Criptarea decide dacă conținutul unui pachet poate fi citit și nu spune nimic despre dacă existența, dimensiunea și momentul pachetului vor fi notate. Un router care transmite un tunel criptat vede un flux pe care trebuie să îl livreze și poate să îl numere, să îl marcheze cu un moment de timp și să îl atribuie. Comparați ce înregistrează o poartă de acasă cu ce înregistrează o rețea din amonte, iar diferența se dovedește a fi despre ce câmpuri are fiecare motiv să păstreze.

Această comparație este cea utilă, pentru că cele două înregistrări sunt confundate constant în dezbaterile despre confidențialitate. Ele răspund la întrebări diferite și sunt păstrate perioade diferite.

Doi observatori, două înregistrări diferite

Poarta de la marginea dumneavoastră știe ce interfață locală a folosit fluxul și, când distribuie ea însăși adrese, ce dispozitiv avea acea adresă în acel moment. Poate vedea și ce resolver ați interogat și ce punct final ați contactat. În amonte, același trafic ajunge tradus, astfel încât o altă rețea vede o singură adresă publică partajată de întreaga gospodărie, ceea ce este funcția descrisă în RFC 3022. Niciunul dintre observatori nu a citit încărcătura, iar niciuna dintre înregistrări nu o conține pe cealaltă.

Totalurile de octeți aparțin și ele acestei categorii. Un contor de volum înregistrează că a trecut trafic fără a înregistra ce era.

Ce câmpuri lasă într-adevăr o urmă

Ce stochează un anumit dispozitiv depinde de ce este activat, așa că orice afirmație universală merită suspiciune. Tabelul enumeră câmpurile care contează în practică și ce implică fiecare.

Citiți tabelul pe rânduri, nu pe coloane, pentru că fiecare rând susține o concluzie diferită. Adresa punctului final arată că există un tunel, nu ce a transportat. Maparea dispozitivelor locale este rândul care leagă un flux de o persoană, și este rândul pe care o poartă de acasă îl păstrează în timp ce un observator din amonte de obicei nu.

Rândul încărcăturii rămâne același în ambele coloane, și aceasta este partea pe care criptarea o garantează cu adevărat. Tot restul depinde de alegerile de jurnalizare.

Un router care încheie tunelul vede mai mult

O poartă care transmite traficul criptat al altcuiva și un router care rulează el însuși tunelul ocupă poziții diferite. Al doilea păstrează starea tunelului și cheile acestuia, așa că poate vedea adrese interne și destinațiile din interiorul tunelului. Dacă acel router traduce și adrese pentru rețeaua internă, jurnalele sale pot lega un dispozitiv de o destinație internă într-o singură înregistrare. Aceasta este o dezvăluire diferită de cea a fluxului exterior, produsă de aceeași cutie.

Comparați aceasta cu un client laptop în spatele unei porți obișnuite: poarta înregistrează fluxul exterior, iar jurnalul clientului păstrează detaliul interior. A întreba cine deține care jumătate a imaginii este mai productiv decât a întreba dacă rețeaua poate vedea prin criptare. Răspunsul onest la a doua întrebare este nu, și nu este nici întrebarea care vă decide expunerea.

Verificați ce înregistrează propriul dispozitiv

Uitați-vă la echipamentul dumneavoastră înainte de a raționa despre al altcuiva. Comenzile de mai jos listează reguli de firewall cu contori, intrări de conexiune încă vii și linii de jurnal care menționează o conexiune. Ele se aplică unui router bazat pe Linux, din care provine cea mai mare parte a firmware-ului pentru consumatori.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Un set de reguli cu contori vă spune ce este dispus dispozitivul să numere, iar tabelul de conexiuni arată fluxuri vii în loc de istoric. Liniile de jurnal confirmă dacă firmware-ul scrie măcar evenimente de conexiune, iar asta rezolvă cea mai mare parte a disputei. Ieșire goală la toate cele patru comenzi înseamnă că dispozitivul transmite fără să înregistreze, și acesta este tot un răspuns. Repetați verificarea pe client, pentru că jurnalul acestuia păstrează cealaltă jumătate a imaginii.

Notați funcțiile activate și setarea de păstrare lângă ieșiri. Același hardware poate fi tăcut astăzi și vorbăreț după o actualizare de firmware care activează telemetria.