Kaj pokažejo dnevniki usmerjevalnika, ko je koristna obremenitev VPN šifrirana

Šifriranje odloči, ali je vsebino paketa mogoče prebrati, in ne pove ničesar o tem, ali bodo obstoj paketa, njegova velikost in čas zapisani. Usmerjevalnik, ki posreduje šifriran tunel, vidi tok, ki ga mora dostaviti, in ga lahko prešteje, opremi s časovnim žigom in pripiše. Primerjajte, kaj zapiše domača prehodna točka, s tem, kar zapiše omrežje višje, in razlika se izkaže v tem, katera polja ima vsak razlog obdržati.

To primerjanje je koristno, ker se oba zapisa v razpravah o zasebnosti nenehno mešata. Odgovarjata na različna vprašanja in se hranita različno dolgo.

Dva opazovalca, dva različna zapisa

Prehodna točka na vašem robu ve, kateri lokalni vmesnik je tok uporabil, in ko sama dodeljuje naslove, katera naprava je takrat imela ta naslov. Vidi lahko tudi, kateri razreševalnik ste vprašali in katero končno točko ste kontaktirali. Višje pride isti promet preveden, zato drugo omrežje vidi en javni naslov, ki si ga deli celotno gospodinjstvo, kar je funkcija, opisana v RFC 3022. Noben opazovalec ni prebral obremenitve in noben zapis ne vsebuje drugega.

Tudi vsote bajtov spadajo v to kategorijo. Števec obsega zapiše, da je promet šel mimo, ne da bi zapisal, kaj je bil.

Katera polja res pustijo sled

Kaj določena naprava shrani, je odvisno od tega, kaj je omogočeno, zato si vsaka univerzalna trditev zasluži sum. Tabela navaja polja, ki so v praksi pomembna, in kaj vsako od njih pomeni.

Tabelo berite po vrsticah, ne po stolpcih, ker vsaka vrstica podpira drugačen sklep. Naslov končne točke pokaže, da tunel obstaja, ne pa, kaj je prevažal. Preslikava lokalnih naprav je vrstica, ki poveže tok z osebo, in to vrstico domača prehodna točka hrani, medtem ko je opazovalec višje običajno ne.

Vrstica obremenitve ostane v obeh stolpcih enaka, in to je del, ki ga šifriranje res zagotavlja. Vse drugo je odvisno od odločitev o beleženju.

Usmerjevalnik, ki zaključi tunel, vidi več

Prehodna točka, ki posreduje tuj šifriran promet, in usmerjevalnik, ki sam upravlja tunel, zavzemata različna položaja. Drugi hrani stanje tunela in ključe zanj, zato lahko vidi notranje naslove in cilje znotraj tunela. Če ta usmerjevalnik prevaja tudi naslove za notranje omrežje, lahko njegovi dnevniki povežejo napravo z notranjim ciljem v enem zapisu. To je drugačno razkritje od zunanjega toka, ustvari pa ga ista škatla.

Primerjajte to s prenosniškim odjemalcem za običajno prehodno točko: prehodna točka zapiše zunanji tok, odjemalčev lastni dnevnik pa hrani notranjo podrobnost. Vprašati, kdo ima katero polovico slike, je bolj produktivno kot vprašati, ali omrežje vidi skozi šifriranje. Iskren odgovor na drugo vprašanje je ne, in to tudi ni vprašanje, ki odloča o vaši izpostavljenosti.

Preverite, kaj zapiše vaša lastna naprava

Oglejte si svojo opremo, preden razmišljate o tuji. Spodnji ukazi navajajo pravila požarnega zidu s števci, še žive vnose povezav in vrstice dnevnika, ki omenjajo povezavo. Veljajo za usmerjevalnik na osnovi Linuxa, iz katerega izhaja večina potrošniške vdelane programske opreme.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Nabor pravil s števci vam pove, kaj je naprava pripravljena šteti, tabela povezav pa prikazuje žive tokove namesto zgodovine. Vrstice dnevnika potrdijo, ali vdelana programska oprema sploh zapisuje dogodke povezav, in to razreši večino spora. Prazen izhod pri vseh štirih ukazih pomeni, da škatla posreduje brez beleženja, in tudi to je odgovor. Ponovite preverjanje pri odjemalcu, ker njegov dnevnik hrani drugo polovico slike.

Zapišite omogočene funkcije in nastavitev hrambe ob izhodih. Ista strojna oprema je lahko danes tiha in zgovorna po posodobitvi vdelane programske opreme, ki vklopi telemetrijo.