Що показують журнали роутера, коли корисне навантаження VPN зашифроване

Шифрування вирішує, чи можна прочитати вміст пакета, і нічого не каже про те, чи буде записано існування пакета, його розмір і час. Роутер, який пересилає зашифрований тунель, бачить потік, який має доставити, і може його порахувати, поставити позначку часу й віднести до когось. Порівняйте, що записує домашній шлюз, із тим, що записує мережа вище, і різниця виявиться в тому, які поля кожному має сенс зберігати.

Саме це порівняння й корисне, бо два записи в обговореннях приватності постійно плутають. Вони відповідають на різні питання й зберігаються різний час.

Два спостерігачі, два різні записи

Шлюз на вашому краю знає, який локальний інтерфейс використав потік, а коли сам роздає адреси — який пристрій володів цією адресою в той момент. Він може бачити й те, до якого резолвера ви зверталися й з якою кінцевою точкою з'єднувалися. Вище в мережі той самий трафік приходить перекладеним, тож інша мережа бачить одну публічну адресу, спільну для всього домогосподарства, і це функція, описана в RFC 3022. Жоден зі спостерігачів не читав навантаження, і жоден із записів не містить іншого.

Суми байтів теж належать до цієї категорії. Лічильник обсягу записує, що трафік пройшов, не записуючи, чим він був.

Які поля справді залишають слід

Що зберігає конкретний пристрій, залежить від того, що ввімкнено, тому будь-яке універсальне твердження варте недовіри. Таблиця перелічує поля, важливі на практиці, і що кожне з них означає.

Читайте таблицю рядками, а не стовпцями, бо кожен рядок підтримує інший висновок. Адреса кінцевої точки показує, що тунель існує, а не що він ніс. Зіставлення локальних пристроїв — це рядок, який пов'язує потік з особою, і саме його зберігає домашній шлюз, тоді як спостерігач вище зазвичай не зберігає.

Рядок навантаження однаковий в обох стовпцях, і це та частина, яку шифрування справді гарантує. Усе інше залежить від рішень про журналювання.

Роутер, який завершує тунель, бачить більше

Шлюз, що пересилає чужий зашифрований трафік, і роутер, який сам веде тунель, займають різні позиції. Другий зберігає стан тунелю та ключі до нього, тому може бачити внутрішні адреси й призначення всередині тунелю. Якщо цей роутер ще й транслює адреси для внутрішньої мережі, його журнали можуть пов'язати пристрій із внутрішнім призначенням в одному записі. Це інше розкриття, ніж зовнішній потік, і його створює той самий блок.

Порівняйте це з клієнтом на ноутбуці за звичайним шлюзом: шлюз записує зовнішній потік, а власний журнал клієнта зберігає внутрішні деталі. Питати, у кого яка половина картини, продуктивніше, ніж питати, чи бачить мережа крізь шифрування. Чесна відповідь на друге питання — ні, і це також не те питання, яке визначає вашу вразливість.

Перевірте, що записує ваш власний пристрій

Погляньте на власне обладнання, перш ніж міркувати про чуже. Наведені нижче команди перелічують правила міжмережевого екрана з лічильниками, ще живі записи з'єднань і рядки журналу, що згадують з'єднання. Вони стосуються роутера на базі Linux, від якого походить більшість споживчої прошивки.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Набір правил із лічильниками каже, що пристрій готовий рахувати, а таблиця з'єднань показує живі потоки, а не історію. Рядки журналу підтверджують, чи прошивка взагалі записує події з'єднань, і це вирішує більшу частину суперечки. Порожній вивід за всіма чотирма командами означає, що блок пересилає без запису, і це теж відповідь. Повторіть перевірку на клієнті, бо його журнал зберігає другу половину картини.

Запишіть увімкнені можливості та налаштування зберігання поряд із виводами. Те саме обладнання може сьогодні мовчати, а після оновлення прошивки, що вмикає телеметрію, стати говірким.