UDP VPN port skanında səssizdir? Bu niyə baş verir
WireGuard və sərtləşdirilmiş OpenVPN autentifikasiyadan keçməyən dataqramları cavab vermədən atır. Skanerdən gələn səssizlik gözlənilən davranışdır, bağlı port deyil.
VPN portunu skan edirsiniz, cavab almırsınız və xidmətin işləmədiyi və ya firewall-un bağlı olduğu qənaətinə gəlirsiniz. WireGuard-da və öz autentifikasiyasını daşıyan OpenVPN idarəetmə kanallarında bu qənaət doğru deyil. Etibarlı autentifikasiya materialı olmayan dataqram cavab verilmədən atılır, yəni səssizlik sağlam xidmətin kənardan görünüşüdür. Zond tuneldən əvvəl səhvdir.
Səssizlik protokoldur, nasazlıq deyil
UDP-də bağlantı qurulması yoxdur, ona görə də skanerin açıq portu filtrlənmiş portdan ayırmasına imkan verən nə SYN, nə də təsdiq var. Zond tək bir dataqram kimi gəlir və xidmət onun gözlədiyi protokola uyğun olub-olmadığını yoxlayır. Uyğun deyilsə, paket atılır və atma nasazlıq deyil, sənədləşdirilmiş davranışdır.
WireGuard öz handshake mesajlarını kriptoqrafik olaraq yoxlayır və uğursuz olan hər şeyi nəzərə almır. OpenVPN tls-auth və ya tls-crypt ilə öz idarəetmə kanalı üçün eyni şeyi edir. Hər iki halda ixtiyari yük heç vaxt istifadəçiyə yönəlmiş mərhələyə çatmır, ona görə də cavab veriləcək bir şey və qaytarılacaq xəta yoxdur.
TCP sizə bağlı portdan reset verərdi. UDP sizi qeyri-müəyyənliklə qoyur, skanerlər bunu təxmin etmək əvəzinə açıq və ya filtrlənmiş çap edərək həll edir.
Skaner nə çıxara bilər, nə çıxara bilməz
Skan nəticəsi yalnız göndərdiyi yük qədər məlumat verir. Mümkün müşahidələri hər birinin həqiqətən nəyə dəlalət etdiyinə görə sıralayın:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Üçüncü sətri siyahıdakı yeganə müsbət test kimi oxuyun. O, həqiqi profili, həqiqi açarı və düzgün endpoint-i tələb edir ki, bu da ümumi skanerdə olmayan şeydir.
Yolun hər iki ucuna baxın
İdarə etdiyiniz server üçün hər hansı nəticəyə gəlməzdən əvvəl interfeysdə tutma aparın, sonra xidmətdən nə gördüyünü soruşun. Hər iki əmr şlüzda root tələb edir:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showƏgər interfeysdə heç bir paket görünmürsə, yolu onu xidmət heç nə görməmişdən əvvəl atıb və növbəti dayanacaq marşrutlaşdırma və filtrləmədir. Paketlər gəlir, lakin heç bir handshake tamamlanmırsa, xidmət əlçatandır və uyğunsuzluq açarlarda, endpoint konfiqurasiyasında və ya protokol versiyasındadır. Bu müqayisə skanerin cavab verə bilmədiyi suala cavab verir. Onu real müştəri qoşulmağa çalışarkən işə salın, skaner özünü təkrarlayarkən deyil.
Testi dəyişin, qorunmanı yox
Cazibədar qısa yol, diaqnostikanın cavab alması üçün idarəetmə kanalının qorunmasını söndürməkdir. Bu, real təhlükəsizlik xassəsini daha gözəl görünən skan nəticəsi ilə dəyişir və bu, səhv istiqamətdir. Əvəzində təsdiqlənmiş şəbəkədən etibarlı profil istifadə edin və müqayisənin təkrarlana bilməsi üçün endpoint-i və vaxtı qeyd edin.
Ən faydalı test diferensial testdir: eyni profil işləyən yolda və işləməyən yolda. İşləyən yol handshake yaradırsa və uğursuz yol interfeysdə heç nə yaratmırsa, heç nəyi zəiflətmədən qırılma yerini tapmısınız.
Buna görə də cavab almayan UDP paketi nə serverin oflayn olduğunu, nə də onun təhlükəsiz olduğunu sübut etmir. O, yalnız bu zondun, bu yolda, bu anda qəbul edilmədiyini sübut edir.