Mae sgan UDP yn dweud hidledig: a yw eich cymar WireGuard mewn gwirionedd i lawr?

Mae sganwyr yn printio agored neu hidledig ar gyfer porth UDP, a daw’r casgliad fel arfer o fewn eiliadau: mae’r twmwl wedi torri. Efallai ei fod, ond nid yw’r sgan wedi profi hynny. Nid yw UDP yn cario unrhyw gydio cysylltiad, ac nid yw WireGuard yn ateb unrhyw beth na all ei ddilysu, felly tawelwch yw’r ateb disgwyliedig i’r rhan fwyaf o brofion.

Gweithiwch o’r cleient tuag allan yn lle hynny, a thriniwch y sgan fel un pwynt data gwan ymhlith sawl un.

Beth all y sganiwr ei weld a beth na all

Mae sganiwr UDP yn anfon llwyth ac yn aros. Os daw ICMP port-unreachable yn ôl, gall adrodd bod y porth ar gau. Os na ddaw dim yn ôl, mae’r canlyniad yn amwys o fwriad: mae llwybr hidledig, gwesteiwr absennol a gwasanaeth sy’n rhedeg ac a anwybyddodd y llwyth i gyd yn cynhyrchu’r un tawelwch. Tri chyflwr gwahanol, un llinyn allbwn.

Mae WireGuard yn gwneud yr amwysedd hwnnw’n waeth o fwriad. Nid yw’r protocol yn derbyn pecyn oni bai ei fod yn dilysu, felly mae prawf â’r allweddi anghywir yn cael ei daflu heb ateb. Nid oes baner, dim llinyn fersiwn a dim neges gwall i’w nodi.

Nid yw prawf TCP ar yr un rhif porth yn profi dim perthnasol. Mae’n ymarfer gwrandäwr gwahanol na all fodoli, ac nid yw ei wrthodiad yn dweud dim am UDP.

Felly mae cyflyrau agored hidledig yn disgrifio ansicrwydd y sganiwr yn fwy cywir na’ch gweinydd.

Cerddwch y cleient go iawn o’r proffil tuag i mewn

Dechreuwch gyda golwg y cleient ei hun. A oes gan y rhyngwyneb gyfeiriad, a yw’r ffurfweddiad yn enwi’r pen draw cywir, ac a yw’r cyfrifydd cydio yn symud pan geisir cysylltiad? Mae cleient na anfonodd becyn erioed a chleient y cafodd ei becynnau eu gollwng yn edrych yn unfath mewn ffenestr statws. Dim ond y cyfrifwyr sy’n eu gwahaniaethu, felly darllenwch y cyfrifwyr yn gyntaf.

Yna gwyliwch ochr y gweinydd tra bo un ymgais awdurdodedig yn digwydd, yn hytrach na rhedeg sgan ar wahân o drydydd lle:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Mae’r gorchymyn cyntaf yn adrodd y cydio olaf fesul cymar, sy’n dystiolaeth uniongyrchol bod cyfnewid dilys wedi’i gwblhau. Mae’r ail yn dangos a yw pecynnau ar gyfer y gwrandäwr yn cyrraedd o gwbl, sy’n gwahanu problem llwybr oddi wrth broblem ffurfweddiad mewn un cam.

Os nad yw’r cip yn dangos dim, ni chyrhaeddodd y pecyn y gwesteiwr erioed ac nid y ffurfweddiad twmwl yw’r drwgdybiedig. Os yw’n dangos pecynnau’n cyrraedd o’r cyfeiriad disgwyliedig tra bo’r cydio yn aros ar sero, yr allweddi neu gyfeiriadau a ganiateir y cymar yw’r lle nesaf i edrych.

Cydberthynwch yn y gweinydd pan fyddwch yn ei weinyddu

Cadarnhewch fod y gwrandäwr yn bodoli a bod mur cadarn y darparwr yn caniatáu’r porth UDP. Mae rheol mur cadarn gwesteiwr a grŵp diogelwch cwmwl yn ddwy giât annibynnol, a gall y naill ollwng pecyn a ganiataodd y llall. Gwiriwch y ddwy yn erbyn y porth gwirioneddol yn y ffurfweddiad yn hytrach na’r porth rydych yn ei gofio.

Mae’r cyfeiriad yr un mor bwysig â’r porth. Ni fydd gweinydd sy’n gwrando ar gyfeiriad penodol yn ateb pecyn sy’n cyrraedd un arall, a gall gwesteiwr aml-rhyngwyneb dderbyn y prawf ar y rhyngwyneb nad oeddech yn bwriadu.

Cadwch bob prawf y tu mewn i systemau yr ydych wedi’ch awdurdodi i’w profi. Y gymhariaeth ddefnyddiol yw rhwng un ymgais cleient go iawn a llwybr disgwyliedig y gweinydd, nid ysgubiad ehangach o gyfeiriadau sy’n digwydd perthyn i’r un darparwr.

Darllen canlyniad sgan yn onest

Mae sgan yn ffordd rhad o wirio bod gwesteiwr yn bodoli ac nad yw porth yn amlwg wedi’i rwystro gan ddyfais ganolraddol. Nid yw’n brawf cyrhaeddiad ar gyfer protocol dilys, ac yn sicr nid yw’n brawf ffurfweddiad.

Y dystiolaeth gryfach yw cydio wedi’i gwblhau o’r cleient rydych yn poeni amdano mewn gwirionedd, wedi’i ddilyn gan gais sy’n defnyddio’r twmwl ac yn cael ateb. Mae’r dilyniant hwnnw’n ymarfer yr allweddi, y cyfeiriadau a ganiateir, y ddau fur cadarn a’r llwybr dychwelyd mewn un tro.

Lle mae’r ymgais go iawn yn methu, rhaid dal i ddiagnosio’r methiant gyda chyfrifwyr y cleient a chip y gweinydd yn hytrach nag â phrawf arall. Mae’r disgrifiad protocol yn esbonio pam nad yw pecyn heb ei ddilysu yn cael ateb, a dyna’r union reswm mae canlyniad y sgan yn amwys.