Могут ли счётчики трафика показать, какие сайты вы посещали через VPN?

Вы открываете страницу трафика на роутере или панель провайдера VPN, и там есть суммарный объём байт по устройству с графиком рядом. Соблазнительно прочитать этот график как историю просмотров. Это не она, и причина структурная, а не юридическая. Счётчик складывает размеры, тогда как история записывает адресатов и содержимое, и только второе говорит, куда кто-то ходил.

Начните с экрана, который вы читаете

Прежде чем толковать число, выясните, что его создало. Сумма по устройству на роутере обычно берётся из счётчиков физического интерфейса, сумма в клиенте VPN — из его туннеля, а панель провайдера — из учёта на удалённой стороне. Каждый считает свой срез одной и той же сессии. Две панели с разными числами за один и тот же час обычно обе верны.

Интервал важен не меньше источника. Сумма за всё время, суточная сводка и мгновенная скорость — три разных измерения, и только у мгновенной скорости достаточно разрешения, чтобы сопоставить её с одним действием.

Запишите источник и интервал, прежде чем записывать вывод.

Счётчики измеряют уровни, а не страницы

На узле WireGuard счётчики передачи в wg show — это суммы для этого узла, включая зашифрованные данные. Вывод состояния OpenVPN сообщает байты по клиентам на своём уровне. На хосте интерфейс tun считает внутренние пакеты IP, а физический адаптер — внешние пакеты UDP, поэтому они расходятся на накладные расходы инкапсуляции и на всё остальное, что делит канал.

Повторные передачи раздувают сумму, хотя нового содержимого не приходит, а фоновая синхронизация может занять целый час, пока пользователь читает обычный текст.

Поэтому большая сумма говорит о нагрузке на данные и ни о чём более конкретном. Размер скачанного файла и прирост счётчика связаны, но редко равны.

Что сумма может и чего не может подтвердить

Сумма байт не может назвать сайт: имена и URL живут внутри сессий TLS или QUIC, в которые счётчик никогда не заглядывает. Она не отделит видеопоток от большой резервной копии, а загрузку страницы — от цикла обновления рекламы. Подтвердить она может утверждение об объёме и времени: это устройство передало столько данных за такое окно.

Чтобы превратить это в утверждение о человеке, нужны два дополнительных элемента: идентичность и корреляция.

Документ RFC 6973 privacy considerations объясняет, почему это сочетание важно, и именно поэтому аккуратный отчёт отделяет наблюдённое от выведенного. Если выводу нужно слово потому что, одного счётчика недостаточно как доказательства.

Время и идентичность меняют ответ

Привяжите счётчик к названному пользователю и точному интервалу — и он станет другим объектом.

Тогда его можно сопоставить с другими наблюдениями: записью входа, запросом DNS, сессией в другой системе. Счётчик не раскрыл адресат, но помог тому, у кого уже была гипотеза, её подтвердить. Шифрование защищает содержимое и имена в пути и не скрывает, что поток существовал, каким он был по размеру и когда начался.

Это честная граница: закономерности видны, смысл — нет.

Решите, что хранить, прежде чем собирать

Если требование — планирование ёмкости, на него отвечает грубая суточная сводка и стоит немного. Если требование — история по пользователям, скажите это прямо, назовите поля и срок хранения и отнеситесь к решению как к политике, а не как к функции панели. Собирать подробную историю потому, что панель это поддерживает, — так хранение и растёт, когда никто не решал.

При поиске неисправностей сравнивайте счётчик с действием, которое проверяете. Ровно растущая сумма доказывает, что трафик идёт, а не что приложение работает.

Ровный счётчик во время сессии, которая явно работает, обычно означает, что вы читаете кэшированное значение или не тот интерфейс. Назовите сохраняемые поля и окно, и следующей проверке будет что сверять.