UDP-skannaus sanoo suodatettu: onko WireGuard-vertaisesi todella alhaalla?

Skannerit tulostavat UDP-portille joko avoin tai suodatettu, ja johtopäätös seuraa yleensä sekunneissa: tunneli on rikki. Ehkä onkin, mutta skannaus ei sitä osoittanut. UDP ei kanna minkäänlaista yhteyden kättelyä, eikä WireGuard vastaa mihinkään, mitä se ei pysty todentamaan, joten hiljaisuus on odotettu vastaus useimpiin probeihin.

Työskentele sen sijaan asiakkaasta ulospäin ja kohtele skannausta yhtenä heikkona datapisteenä muiden joukossa.

Mitä skanneri voi nähdä ja mitä ei

UDP-skanneri lähettää hyötykuorman ja odottaa. Jos takaisin tulee ICMP port-unreachable, se voi raportoida portin suljetuksi. Jos mitään ei tule takaisin, tulos on suunnittelultaan monitulkintainen: suodatettu reitti, puuttuva isäntä ja hyötykuorman ohittanut käynnissä oleva palvelu tuottavat kaikki saman hiljaisuuden. Kolme eri tilaa, yksi tulostemerkkijono.

WireGuard pahentaa tuota monitulkintaisuutta tarkoituksella. Protokolla hyväksyy paketin vain, kun se todentuu, joten väärillä avaimilla varustettu probe hylätään ilman vastausta. Tarjolla ei ole banneria, versiomerkkijonoa eikä virheilmoitusta sormenjälkeä varten.

TCP-testi samalla portin numerolla ei testaa mitään siihen liittyvää. Se rasittaa toista kuuntelijaa, jota ei ehkä ole olemassa, eikä sen kieltäytyminen kerro UDP:stä mitään.

Avoimet suodatetut tilat kuvaavat siis skannerin epävarmuutta tarkemmin kuin palvelintasi.

Käy todellinen asiakas läpi profiilista sisäänpäin

Aloita asiakkaan omasta näkymästä. Onko rajapinnalla osoite, nimeääkö kokoonpano oikean päätepisteen ja liikkuuko kättelylaskuri, kun yhteyttä yritetään? Asiakas, joka ei koskaan lähettänyt pakettia, ja asiakas, jonka paketit pudotettiin, näyttävät tilanneikkunassa identtisiltä. Vain laskurit erottavat ne, joten lue laskurit ensin.

Tarkkaile sitten palvelimen puolta yhden valtuutetun yrityksen aikana sen sijaan, että ajaisit erillisen skannauksen kolmannesta paikasta:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Ensimmäinen komento raportoi viimeisimmän kättelyn vertaiskohtaisesti, mikä on suora todiste siitä, että todennettu vaihto saatiin päätökseen. Toinen näyttää, saapuvatko kuuntelijan paketit lainkaan, mikä erottaa reittiongelman kokoonpano-ongelmasta yhdessä vaiheessa.

Jos kaappaus ei näytä mitään, paketti ei koskaan saavuttanut isäntää eikä tunnelin kokoonpano ole epäilty. Jos se näyttää odotetusta osoitteesta saapuvia paketteja kättelyn pysyessä nollassa, avaimet tai vertaisen sallitut osoitteet ovat seuraava tarkistuskohde.

Korreloi palvelimella, kun hallinnoit sitä

Vahvista, että kuuntelija on olemassa ja että palveluntarjoajan palomuuri sallii UDP-portin. Isännän palomuurisääntö ja pilven suojausryhmä ovat kaksi itsenäistä porttia, ja kumpi tahansa voi pudottaa paketin, jonka toinen salli. Tarkista molemmat kokoonpanon todellista porttia vasten, älä muistamaasi porttia.

Osoite on yhtä tärkeä kuin portti. Tietyssä osoitteessa kuunteleva palvelin ei vastaa pakettiin, joka saapuu toiseen, ja moniliitäntäinen isäntä voi vastaanottaa proben rajapinnalla, jota et tarkoittanut.

Pidä jokainen testi järjestelmissä, joiden testaamiseen sinulla on valtuudet. Hyödyllinen vertailu on yhden todellisen asiakasyrityksen ja odotetun palvelinreitin välillä, ei laajempi osoitteiden läpikäynti, jotka sattuvat kuulumaan samalle palveluntarjoajalle.

Skannaustuloksen rehellinen lukeminen

Skannaus on halpa tapa tarkistaa, että isäntä on olemassa ja että porttia ei selvästi estä välissä oleva laite. Se ei ole todennetun protokollan tavoitettavuustodiste eikä varmasti kokoonpanotesti.

Vahvempi todiste on valmiiksi saatu kättely asiakkaalta, josta todella välität, ja sen perään pyyntö, joka käyttää tunnelia ja saa vastauksen. Tämä sarja rasittaa avaimet, sallitut osoitteet, molemmat palomuurit ja paluureitin yhdellä kertaa.

Kun todellinen yritys epäonnistuu, vika on silti diagnosoitava asiakkaan laskureilla ja palvelimen kaappauksella eikä uudella probella. Protokollakuvaus selittää, miksi todentamaton paketti ei saa vastausta, ja juuri siksi skannaustulos on monitulkintainen.