UDP VPN vaikib pordiskaneerimisel? Miks see juhtub
WireGuard ja kõvistatud OpenVPN loobuvad autentimises läbi kukkuvatest datagrammidest vastamata. Skanneri vaikus on oodatud käitumine, mitte suletud port.
Skaneerite VPN-i porti, ei saa vastust ja järeldate, et teenus on maas või tulemüür on suletud. WireGuardi ja selliste OpenVPN-i juhtkanalite puhul, mis kannavad oma autentimist, see järeldus ei kehti. Kehtiva autentimismaterjalita datagramm jäetakse vastuseta kõrvale, seega vaikus on see, kuidas terve teenus väljastpoolt paistab. Sond on vale enne, kui tunnel on.
Vaikus on protokoll, mitte rike
UDP-l puudub ühenduse loomine, seega pole SYN-i ega kinnitust, mis lubaks skanneril eristada avatud porti filtreeritud pordist. Sond saabub isoleeritud datagrammina ja teenus kontrollib, kas see vastab protokollile, mida ta ootab. Kui ei vasta, jäetakse pakett kõrvale, ja kõrvalejätmine on dokumenteeritud käitumine, mitte talitlushäire.
WireGuard valideerib oma handshake-sõnumid krüptograafiliselt ja eirab kõike, mis läbi kukub. OpenVPN koos tls-authi või tls-cryptiga teeb sama oma juhtkanali jaoks. Mõlemal juhul ei jõua meelevaldne kasulik koormus kunagi kasutajale suunatud etappi, seega pole millegagi vastata ega viga tagastada.
TCP oleks andnud teile suletud pordist reseti. UDP jätab teid ebamäärasusse, mille skannerid lahendavad avatud või filtreeritud väljatrükkimisega, selle asemel et oletada.
Mida skanner saab ja mida ei saa järeldada
Skaneerimise tulemus on täpselt nii informatiivne kui saadetud koormus. Järjestage võimalikud tähelepanekud selle järgi, mida igaüks neist tegelikult kinnitab:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Lugege kolmandat rida loendi ainsa positiivse testina. See nõuab tõelist profiili, tõelist võtit ja õiget lõpp-punkti, ja just seda üldskanneril pole.
Vaadake tee mõlemat otsa
Serveri puhul, mida haldad, püüa liidesel enne mis tahes järelduse tegemist ja küsi seejärel teenuselt, mida see nägi. Mõlemad käsud nõuavad lüüsil root-õigusi:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showKui liidesel ei ilmu ühtegi paketti, jättis tee selle kõrvale enne, kui teenus midagi nägi, ja järgmine peatus on marsruutimine ja filtreerimine. Kui paketid saabuvad, aga ükski handshake ei lõpe, on teenus kättesaadav ja lahknevus on võtmetes, lõpp-punkti konfiguratsioonis või protokolli versioonis. See võrdlus vastab küsimusele, millele skanner ei suutnud. Käivitage see siis, kui tõeline klient üritab ühenduda, mitte siis, kui skanner kordab ennast.
Muutke testi, mitte kaitset
Ahvatlev otsetee on lülitada juhtkanali kaitse välja, et diagnostika saaks vastuse. See vahetab tõelise turvaomaduse ilusama skaneerimistulemuse vastu ja on vale suund. Kasutage selle asemel kehtivat profiili heakskiidetud võrgust ja märkige lõpp-punkt ja aeg, et võrdlus oleks korratav.
Kõige kasulikum test on diferentsiaalne: sama profiil teel, mis töötab, ja teel, mis ei tööta. Kui töötav tee annab handshake'i ja ebaõnnestuv tee ei anna liidesel midagi, olete katkestuse lokaliseerinud ilma midagi nõrgendamata.
Vastuseta UDP-pakett ei tõenda seega ei seda, et server on võrguühenduseta, ega seda, et see on turvaline. See tõendab, et see sond, sellel teel, sel hetkel, ei võetud vastu.