UDP-skanado diras filtrita: ĉu via WireGuard-para estas vere malsupre?

Skaniloj presas malfermita aŭ filtrita por UDP-pordo, kaj la konkludo kutime venas ene de sekundoj: la tunelo estas rompita. Eble jes, sed la skanado ne pruvis tion. UDP portas neniun konektan manpremon, kaj WireGuard respondas al nenio, kion ĝi ne povas aŭtentigi, do silento estas la atendata respondo al plej multaj provoj.

Laboru anstataŭe de la kliento eksteren, kaj traktu la skanadon kiel unu malfortan datumpunkton inter pluraj.

Kion la skanilo povas kaj ne povas vidi

UDP-skanilo sendas ŝarĝon kaj atendas. Se ICMP port-unreachable revenas, ĝi povas raporti la pordon kiel fermita. Se nenio revenas, la rezulto estas ambigua laŭdezajne: filtrita vojo, forestanta gastiganto kaj kuranta servo, kiu ignoris la ŝarĝon, ĉiuj produktas la saman silenton. Tri malsamaj statoj, unu eliga ĉeno.

WireGuard intence plimalbonigas tiun ambiguecon. La protokolo akceptas paketon nur kiam ĝi aŭtentigas sin, do provo kun la malĝustaj ŝlosiloj estas forĵetata sen respondo. Ne estas standardo, nek versioĉeno, nek erarmesaĝo por fingrospuri.

TCP-testo sur la sama pordnumero testas nenion rilatan. Ĝi ekzercas alian aŭskultanton, kiu eble ne ekzistas, kaj ĝia rifuzo diras nenion pri UDP.

Malfermaj filtritaj statoj do priskribas la necerton de la skanilo pli precize ol ili priskribas vian servilon.

Iru tra la vera kliento de la profilo enen

Komencu per la propra vidpunkto de la kliento. Ĉu la interfaco havas adreson, ĉu la agordo nomas la ĝustan finpunkton, kaj ĉu la manprema nombrilo moviĝas kiam konekto estas provata? Kliento, kiu neniam sendis paketon, kaj kliento, kies paketoj estis forigitaj, aspektas idente en statusa fenestro. Nur la nombriloj distingas ilin, do legu unue la nombrilojn.

Poste observu la servilan flankon dum unu rajtigita provo okazas, anstataŭ lanĉi apartan skanadon de tria loko:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

La unua komando raportas la lastan manpremon por ĉiu para, kio estas rekta pruvo, ke aŭtentigita interŝanĝo finiĝis. La dua montras, ĉu paketoj por la aŭskultanto entute alvenas, kio apartigas vojproblemon de agordproblemo en unu paŝo.

Se la kapto montras nenion, la paketo neniam atingis la gastiganton kaj la tunela agordo ne estas la suspektato. Se ĝi montras alvenantajn paketojn de la atendata adreso dum la manpremo restas je nulo, la ŝlosiloj aŭ la permesitaj adresoj de la para estas la sekva loko por rigardi.

Korelaciu ĉe la servilo, kiam vi administras ĝin

Konfirmu, ke la aŭskultanto ekzistas kaj ke la fajroŝirmilo de la provizanto permesas la UDP-pordon. Gastiganta fajroŝirmila regulo kaj nuba sekureca grupo estas du sendependaj pordegoj, kaj ĉiu el ili povas forĵeti paketon, kiun la alia permesis. Kontrolu ambaŭ kontraŭ la reala pordo en la agordo, ne kontraŭ la pordo, kiun vi memoras.

La adreso gravas same kiel la pordo. Servilo aŭskultanta sur specifa adreso ne respondos paketon alvenantan sur alia, kaj gastiganto kun pluraj interfacoj povas ricevi la provon sur la interfaco, kiun vi ne intencis.

Tenu ĉiun teston ene de sistemoj, kiujn vi rajtas testi. La utila komparo estas inter unu vera klienta provo kaj la atendata servila vojo, ne pli larĝa trarigardo de adresoj, kiuj hazarde apartenas al la sama provizanto.

Honeste legi skanadan rezulton

Skanado estas malmultekosta maniero kontroli, ke gastiganto ekzistas kaj ke pordo ne estas evidente blokita de intera aparato. Ĝi ne estas pruvo de atingeblo por aŭtentigita protokolo, kaj certe ne estas agorda testo.

La pli forta pruvo estas finita manpremo de la kliento, pri kiu vi vere zorgas, sekvata de peto, kiu uzas la tunelon kaj ricevas respondon. Tiu sinsekvo ekzercas la ŝlosilojn, la permesitajn adresojn, ambaŭ fajroŝirmilojn kaj la revenan vojon en unu fojo.

Kie la vera provo malsukcesas, la fiasko ankoraŭ devas esti diagnozita per la nombriloj de la kliento kaj la kapto de la servilo, ne per alia provo. La protokola priskribo klarigas, kial neaŭtentigita paketo ricevas neniun respondon, kaj tio estas la tuta kialo, ke la skanada rezulto estas ambigua.