Vad routerloggar visar när VPN-nyttolasten är krypterad

Kryptering avgör om innehållet i ett paket kan läsas, och säger ingenting om huruvida paketets existens, storlek och tidsstämpel skrivs ned. En router som vidarebefordrar en krypterad tunnel ser ett flöde som den måste leverera, och den kan räkna, tidsstämpla och tillskriva det flödet. Jämför vad en hemgateway registrerar med vad ett nätverk längre uppströms registrerar, och skillnaden visar sig handla om vilka fält var och en har anledning att behålla.

Den jämförelsen är den användbara, eftersom de två registreringarna ständigt blandas ihop i integritetsdebatter. De svarar på olika frågor och bevaras under olika perioder.

Två observatörer, två olika registreringar

Gatewayen vid din kant vet vilket lokalt gränssnitt flödet använde och, när den själv delar ut adresser, vilken enhet som hade den adressen vid det tillfället. Den kan också se vilken resolver du frågade och vilken ändpunkt du kontaktade. Längre uppströms anländer samma trafik översatt, så ett annat nätverk ser en offentlig adress som hela hushållet delar, vilket är funktionen som beskrivs i RFC 3022. Ingen av observatörerna läste nyttolasten, och ingen av registreringarna innehåller den andra.

Byttetotaler hör också till denna kategori. En volymräknare registrerar att trafik passerade utan att registrera vad den var.

Vilka fält lämnar faktiskt ett spår

Vad en viss enhet lagrar beror på vad som är aktiverat, så varje generellt påstående förtjänar misstänksamhet. Tabellen listar de fält som spelar roll i praktiken och vad vart och ett innebär.

Läs tabellen rad för rad i stället för kolumn för kolumn, eftersom varje rad stöder en annan slutsats. Ändpunktens adress visar att det finns en tunnel, inte vad den transporterade. Lokal enhetsmappning är den rad som binder ett flöde till en person, och det är den rad en hemgateway behåller medan en observatör längre uppströms vanligtvis inte gör det.

Nyttolastraden är densamma i båda kolumnerna, och det är den del som krypteringen faktiskt garanterar. Allt annat beror på loggningsval.

En router som avslutar tunneln ser mer

En gateway som vidarebefordrar någon annans krypterade trafik och en router som själv kör tunneln intar olika positioner. Den andra behåller tunnelns tillstånd och nycklarna till den, och kan därför se inre adresser och destinationerna inne i tunneln. Om den routern också översätter adresser för det inre nätverket kan dess loggar koppla en enhet till en inre destination i en registrering. Det är ett annat avslöjande än det yttre flödet, producerat av samma låda.

Jämför det med en laptopklient bakom en vanlig gateway: gatewayen registrerar det yttre flödet, och klientens egen logg behåller den inre detaljen. Att fråga vem som har vilken halva av bilden är mer produktivt än att fråga om nätverket kan se genom krypteringen. Det ärliga svaret på den andra frågan är nej, och det är inte heller frågan som avgör din exponering.

Kontrollera vad din egen enhet registrerar

Titta på din egen utrustning innan du resonerar om andras. Kommandona nedan listar brandväggsregler med räknare, fortfarande levande anslutningsposter och loggrader som nämner en anslutning. De gäller för en Linux-baserad router, som större delen av konsumentfirmvaran härstammar från.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

En regeluppsättning med räknare berättar vad enheten är villig att räkna, och anslutningstabellen visar levande flöden i stället för historik. Loggrader bekräftar om firmwaren överhuvudtaget skriver anslutningshändelser, och det avgör det mesta av diskussionen. Tom utdata på alla fyra kommandona betyder att lådan vidarebefordrar utan att registrera, och det är också ett svar. Upprepa kontrollen på klienten, eftersom dess logg behåller den andra halvan av bilden.

Anteckna de aktiverade funktionerna och bevarandeinställningen bredvid utdata. Samma hårdvara kan vara tyst i dag och pratsam efter en firmwareuppdatering som slår på telemetri.