VPN UDP yn dawel ar sgan porth? Pam mae hyn yn digwydd
Mae WireGuard ac OpenVPN caled yn gollwng datagramau sy'n methu dilysu heb ateb. Mae distawrwydd o sganiwr yn ymddygiad disgwyliedig, nid porth ar gau.
Rydych chi'n sganio porth y VPN, yn cael dim ateb, ac yn casglu bod y gwasanaeth i lawr neu bod y wal dân ar gau. Gyda WireGuard, a chyda sianeli rheoli OpenVPN sy'n cario eu dilysiad eu hunain, nid yw'r casgliad hwnnw'n dilyn. Mae datagram heb ddeunydd dilysu dilys yn cael ei ollwng heb ateb, felly distawrwydd yw'r hyn y mae gwasanaeth iach yn edrych fel o'r tu allan. Mae'r prawf yn anghywir cyn bod y twnnel.
Distawrwydd yw'r protocol, nid nam
Nid oes gan UDP unrhyw sefydlu cysylltiad, felly nid oes SYN na chydnabyddiaeth a fyddai'n gadael i sganiwr wahaniaethu porth agored oddi wrth un wedi'i hidlo. Mae archwiliad yn cyrraedd fel datagram ar wahân, ac mae'r gwasanaeth yn gwirio a yw'n cyfateb i'r protocol y mae'n ei ddisgwyl. Pan nad yw'n cyfateb, mae'r pecyn yn cael ei ollwng, a gollwng yw'r ymddygiad a ddogfennwyd yn hytrach na chamweithrediad.
Mae WireGuard yn dilysu ei negeseuon handshake yn grifftograffig ac yn anwybyddu unrhyw beth sy'n methu. OpenVPN gyda tls-auth neu tls-crypt yn gwneud yr un peth i'w sianel reoli. Yn y ddau achos nid yw llwyth mympwyol byth yn cyrraedd cam sy'n wynebu'r defnyddiwr, felly nid oes dim i ateb ag ef ac nid oes gwall i'w ddychwelyd.
Byddai TCP wedi rhoi ailosodiad i chi o borth ar gau. Mae UDP yn eich gadael mewn amwyster, y mae sganwyr yn ei ddatrys drwy argraffu agored neu wedi'i hidlo yn lle dyfalu.
Beth y gall sganiwr ei gasglu a beth na all
Mae canlyniad sgan mor llawn gwybodaeth ag yw'r llwyth a anfonwyd ganddo. Trefnwch yr arsylwadau posibl yn ôl yr hyn y mae pob un ohonynt yn ei gefnogi mewn gwirionedd:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Darllenwch y drydedd rhes fel yr unig brawf cadarnhaol yn y rhestr. Mae angen y proffil go iawn, yr allwedd go iawn a'r pwynt terfyn cywir, sef yn union yr hyn nad oes gan sganiwr cyffredinol.
Edrychwch ar ddau ben y llwybr
Ar gyfer gweinydd rydych chi'n ei weinyddu, daliwch ar y rhyngwyneb cyn tynnu unrhyw gasgliad, yna gofynnwch i'r gwasanaeth beth a welodd. Mae angen root ar y porth ar y ddau orchymyn:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showOs nad yw unrhyw becyn yn ymddangos ar y rhyngwyneb, gollyngodd y llwybr ef cyn i'r gwasanaeth weld unrhyw beth, a'r man nesaf yw llwybro a hidlo. Os bydd pecynnau'n cyrraedd ond nad yw handshake yn cwblhau, mae'r gwasanaeth yn gyrraeddadwy a'r camgymhariad yw yn yr allweddi, cyfluniad y pwynt terfyn neu fersiwn y protocol. Mae'r gymhariaeth honno'n ateb y cwestiwn na allai'r sganiwr ei ateb. Rhedwch ef tra bo cleient go iawn yn ceisio cysylltu, nid tra bo'r sganiwr yn ailadrodd ei hun.
Newidiwch y prawf, nid yr amddiffyniad
Y llwybr byr temtasiwn yw analluogi amddiffyniad y sianel reoli fel y caiff diagnostig ateb. Mae hynny'n cyfnewid eiddo diogelwch go iawn am ganlyniad sgan sydd yn edrych yn well, ac mae'n y cywair anghywir. Defnyddiwch broffil dilys o rwydwaith cymeradwy yn lle hynny, a nodwch y pwynt terfyn a'r amser fel bod y gymhariaeth yn ailadroddadwy.
Y prawf mwyaf defnyddiol yw un gwahaniaethol: yr un proffil ar lwybr sy'n gweithio ac ar y llwybr nad yw'n gweithio. Os yw'r llwybr sy'n gweithio'n cynhyrchu handshake ac nad yw'r llwybr sy'n methu'n cynhyrchu dim ar y rhyngwyneb, rydych wedi canfod y toriad heb wanhau unrhyw beth.
Felly nid yw pecyn UDP heb ateb yn profi nad yw'r gweinydd ar-lein nac ychwaith ei fod yn ddiogel. Mae'n profi na chafodd yr archwiliad hwn, ar y llwybr hwn, ar yr eiliad hon, ei dderbyn.