บันทึกของเราเตอร์แสดงอะไรเมื่อเพย์โหลด VPN ถูกเข้ารหัส
การเข้ารหัสซ่อนเพย์โหลด ไม่ใช่การไหล เปรียบเทียบสิ่งที่เกตเวย์ในบ้านบันทึกกับสิ่งที่ผู้สังเกตปลายน้ำเก็บไว้ แล้วตรวจสอบตัวนับของคุณเอง
การเข้ารหัสตัดสินว่าเนื้อหาของแพ็กเก็ตอ่านได้หรือไม่ และไม่ได้บอกอะไรเลยว่าจะมีการบันทึกการมีอยู่ ขนาด และเวลาของแพ็กเก็ตหรือไม่ เราเตอร์ที่ส่งต่ออุโมงค์ที่เข้ารหัสจะเห็นการไหลที่ต้องส่งมอบ และสามารถนับ ประทับเวลา และระบุว่าเป็นของใครได้ เปรียบเทียบสิ่งที่เกตเวย์ในบ้านบันทึกกับสิ่งที่เครือข่ายปลายน้ำบันทึก แล้วจะพบว่าความแตกต่างอยู่ที่แต่ละฝ่ายมีเหตุผลจะเก็บฟิลด์ใด
การเปรียบเทียบนั้นคือสิ่งที่มีประโยชน์ เพราะบันทึกทั้งสองมักถูกนำมาปนกันในการถกเถียงเรื่องความเป็นส่วนตัว ทั้งสองตอบคำถามคนละข้อและถูกเก็บไว้คนละระยะเวลา
ผู้สังเกตสองราย บันทึกสองแบบ
เกตเวย์ที่ขอบของคุณรู้ว่าการไหลใช้ส่วนติดต่อภายในใด และเมื่อมันแจกจ่ายที่อยู่เอง ก็รู้ว่าอุปกรณ์ใดมีที่อยู่นั้นในขณะนั้น อาจเห็นด้วยว่าคุณสอบถามตัวแก้ชื่อใดและติดต่อปลายทางใด ที่ปลายน้ำ ปริมาณจราจรเดียวกันมาถึงโดยถูกแปลแล้ว เครือข่ายอื่นจึงเห็นที่อยู่สาธารณะหนึ่งรายการที่ทั้งบ้านใช้ร่วมกัน ซึ่งเป็นฟังก์ชันที่อธิบายไว้ใน RFC 3022 ผู้สังเกตทั้งสองไม่ได้อ่านเพย์โหลด และบันทึกทั้งสองไม่ได้บรรจุกันและกัน
ยอดรวมไบต์ก็อยู่ในหมวดนี้เช่นกัน ตัวนับปริมาณบันทึกว่ามีการจราจรผ่านไปโดยไม่บันทึกว่ามันคืออะไร
ฟิลด์ใดทิ้งร่องรอยจริง
สิ่งที่อุปกรณ์หนึ่งเก็บไว้ขึ้นอยู่กับว่าอะไรถูกเปิดใช้งาน ดังนั้นข้อกล่าวอ้างทั่วไปใดก็ควรถูกสงสัย ตารางแสดงฟิลด์ที่สำคัญในทางปฏิบัติและสิ่งที่แต่ละฟิลด์หมายถึง
| Field | Home gateway | Upstream observer |
|---|---|---|
| VPN endpoint address | Yes, as a destination | Yes |
| Local device mapping | Only where it assigns the address | No |
| Byte and packet counts | If statistics are enabled | Usually |
| Flow start and end | If connection logging is on | Usually |
| DNS queries | If the resolver is local | Only if the resolver is theirs |
| Payload contents | No | No |
อ่านตารางทีละแถวไม่ใช่ทีละคอลัมน์ เพราะแต่ละแถวรองรับข้อสรุปที่ต่างกัน ที่อยู่ปลายทางแสดงว่ามีอุโมงค์ ไม่ใช่ว่ามันบรรทุกอะไร การแมปอุปกรณ์ภายในคือแถวที่ผูกการไหลกับบุคคล และเป็นแถวที่เกตเวย์ในบ้านเก็บไว้ ขณะที่ผู้สังเกตปลายน้ำมักไม่เก็บ
แถวเพย์โหลดเหมือนกันในทั้งสองคอลัมน์ และนั่นคือส่วนที่การเข้ารหัสรับประกันจริง ๆ ทุกอย่างที่เหลือขึ้นอยู่กับการเลือกบันทึก
เราเตอร์ที่สิ้นสุดอุโมงค์เห็นมากกว่า
เกตเวย์ที่ส่งต่อการจราจรที่เข้ารหัสของผู้อื่นกับเราเตอร์ที่ดูแลอุโมงค์เองอยู่ในตำแหน่งที่ต่างกัน อย่างหลังเก็บสถานะของอุโมงค์และกุญแจของมัน จึงเห็นที่อยู่ภายในและปลายทางภายในอุโมงค์ได้ หากเราเตอร์นั้นแปลที่อยู่สำหรับเครือข่ายภายในด้วย บันทึกของมันสามารถเชื่อมอุปกรณ์กับปลายทางภายในในบันทึกเดียวได้ นี่เป็นการเปิดเผยที่ต่างจากการไหลภายนอก ซึ่งเกิดจากกล่องเดียวกัน
เปรียบเทียบกับไคลเอนต์แล็ปท็อปที่อยู่หลังเกตเวย์ธรรมดา เกตเวย์บันทึกการไหลภายนอก และบันทึกของไคลเอนต์เองเก็บรายละเอียดภายใน การถามว่าใครถือครึ่งไหนของภาพมีประโยชน์มากกว่าการถามว่าเครือข่ายมองทะลุการเข้ารหัสได้หรือไม่ คำตอบที่ซื่อตรงต่อคำถามที่สองคือไม่ และนั่นก็ไม่ใช่คำถามที่กำหนดการเปิดเผยของคุณ
ตรวจสอบว่าอุปกรณ์ของคุณเองบันทึกอะไร
ดูอุปกรณ์ของคุณเองก่อนจะให้เหตุผลเกี่ยวกับของผู้อื่น คำสั่งด้านล่างแสดงกฎไฟร์วอลล์ที่มีตัวนับ รายการเชื่อมต่อที่ยังมีชีวิต และบรรทัดบันทึกที่กล่าวถึงการเชื่อมต่อ ใช้ได้กับเราเตอร์ที่ใช้ Linux ซึ่งเฟิร์มแวร์ผู้บริโภคส่วนใหญ่สืบทอดมาจาก
nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -lชุดกฎที่มีตัวนับบอกว่าอุปกรณ์ยินดีนับอะไร และตารางเชื่อมต่อแสดงการไหลที่มีชีวิตแทนประวัติ บรรทัดบันทึกยืนยันว่าเฟิร์มแวร์เขียนเหตุการณ์เชื่อมต่อหรือไม่ ซึ่งตัดสินข้อโต้แย้งส่วนใหญ่ได้ ผลลัพธ์ว่างในทั้งสี่คำสั่งหมายความว่ากล่องส่งต่อโดยไม่บันทึก และนั่นก็เป็นคำตอบเช่นกัน ทำการตรวจสอบซ้ำที่ไคลเอนต์ เพราะบันทึกของมันเก็บอีกครึ่งของภาพ
บันทึกคุณสมบัติที่เปิดใช้งานและ การตั้งค่าการเก็บรักษา ไว้ข้างผลลัพธ์ ฮาร์ดแวร์เดียวกันอาจเงียบวันนี้และพูดมากหลังการอัปเดตเฟิร์มแวร์ที่เปิดเทเลเมทรี