VPN ataka isilik? Entzulea, lotze-helbidea edo ostalariaren suebakia

VPNak ez du ezer erantzuten bere atakan, eta bi kausa posibleek kontrako konponketak eskatzen dituzte: edo prozesu batek ere ez zuen socketa ireki, edo socketa badago eta makinen artean zerbait ari da paketeak gelditzen. Komando bakar batek argitzen du galdera horren lehen erdia, eta horregatik dator suebakiko edozein arau ukitu aurretik. Beheko ordenak azalpen bat kentzen du urrats bakoitzean, beste susmo bat gehitu beharrean. Bien artean asmatzea da hamar minutuko diagnostikoa gau oso bihurtzen duena.

Egin ezazu suposatu zerbitzarian saioa hasteko aukera duzula eta bezeroa profil erreala dela, ez eskanerra. Bi suposizioek garrantzia dute, zeren zunda orokorrak ezin baitu protokoloari lotutako galdera bati erantzun.

Ba al da socketa batere

Hasi zerbitzuak bere buruari buruz dioenarekin: ea altxatu zen eta, erabilgarriagoa dena, zein izan zen bere lehen abio-errorea. Analisi-hutsegiteak, falta den gakoak edo lotze-erroreak entzulea inoiz sortzea eragozten dute, eta prozesua isilean irten daiteke egoera-lerroa anbiguoki irakurtzeraino. Aktibo dagoela dioen unitate bat ez da berez froga, prozesu nagusia bizirik egon baitaiteke ataka lotu behar zuen osagaia jada amore eman duen bitartean.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Socketen zerrenda da diagnostikoaren gainerakoa bermatzen duen egitatea. Irakurri helbide lokalaren zutabea, ez ataka soilik, zeren zutabe horretan agertzen baitira loopback lotzeak eta interfaze okerreko lotzeak. 127.0.0.1-en dagoen entzule bat primeran ari da lanean eta, hala ere, ikusezina da zure eramangarriarentzat.

Zein helbide eta familia erabiltzen dituen socketak erantzuteko

Bi hutsegite berdinak dirudite bezeroaren aldetik eta "irisgarria ez" txostenen gehiengoa azaltzen dute. Loopback helbidera lotutako zerbitzari batek ez du inoiz beste makina batetik trafikoa onartzen, eta IPv4 helbide batera soilik lotutako zerbitzari batek ez dio inoiz erantzuten ostalari beraren IPv6 helbidea markatzen duen bezero bati. Alderatu socketen taulako helbidea bezeroak benetan markatzen duen helbidearekin, karaktere karaktere, politikari buruz ezer suposatu aurretik.

Zerrenda ataka bakarrera mugatzeak irakurgarri mantentzen du ostalariak hainbat zerbitzu exekutatzen dituenean. sport iragazkiak ataka hartzen du probatzen ari zaren garraioarekin batera:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Protokolo-zutabeak erantzun osoa aldatzen du

Socketen taulak protokoloaren arabera eta atakaren arabera indexatzen du, eta bi sarrera independente dira. 1194an TCPri erantzuten dion zerbitzu batek ez dizu ezer esaten UDP 1194an zerbait entzuten ari den ala ez, eta bezeroak beti horietako bat soilik erabiliko du. Egiaztatu zerbitzariaren konfigurazioak zein garraio aukeratzen duen eta bezeroaren profilek zein bidaltzen duen, eta gero bilatu zehazki errenkada hori.

UDPk bigarren tolestura du: autentikatu gabeko zunda ez da zerbitzuak erantzun behar duen errorea. Ataka isilik dagoela dioen eskaneatze batek zerbitzuaren diskrezioa neurtu du, ez haren erabilgarritasuna, beraz probatu benetako bezeroa eta profilarekin.

Saiakera bat, hiru leku begiratzeko

Bezero onartu batetik egin saiakera zehatz bat eta idatzi ordua segundoraino. Gero irakurri hiru iturri leiho horretarako: hornitzailearen sare-araua edo kontsola, ostalariaren suebakiaren kontagailuak edo erregistroa, eta zerbitzuaren beraren erregistroa. Behin egiteak egiten ditu hiru kontakizunak alderagarri, eta inork denbora-markarik erregistratu ez zuen saiakera bat errepikatzea baino gutxiago kostatzen da.

Bi emaitzek kontrako norabideetan seinalatzen dute. Paketerik ostalarira iritsi ez bada, bideak baztertu egiten du eta entzulea ez da garrantzitsua. Paketea socket-era iritsi eta zerbitzuak baztertu badu, bidea ondo dago eta erantzuna protokoloan, kriptografian edo kredentzialetan dago. Dagoeneko konexio bat onartu duen zerbitzu baterako ataka bat irekitzeak hurrengo diagnostikoa zailagoa egiten du, ez errazagoa.

Izendatu etapa araua aldatu aurretik

Hasten den negoziazioa eta huts egiten duen autentikazioa huts egite bakarra dira, eta bidalketa trabatzen den bitartean ezartzen den tunela erabat bestelakoa da. Etapa lehenengo izendatzeak konponketa estuan mantentzen du: kredentzialen arazoa ez du suebaki-arau batek konpontzen, eta datu-bidearen arazoa ez du berrabiarazte batek konpontzen.

Erabili galderari erantzuten dion diagnostiko estuena. Ataka batean aldi baterako pakete-behaketa bat, administratzaile baten kontrolpean, tresna zentzuzkoa da; suebaki osoa desgaitzea ez da, emaitza ezinezkoa bihurtzen baita egoztea. ss-ren dokumentazioak goian erabilitako iragazkiak biltzen ditu, eta edozein harrapaketa baino lehen urrats merkeagoa da. Idatzi zein adar frogatu duzun, eta hurrengo gertaera erantzun ezagun batetik hasiko da.