UDP սկանավորումն ասում է՝ զտված. ձեր WireGuard գործընկերը իսկապե՞ս անջատված է։

Սկաներները UDP նավահանգստի համար տպում են բաց կամ զտված, և եզրակացությունը սովորաբար գալիս է վայրկյանների ընթացքում՝ թունելը կոտրված է։ Կարող է այդպես լինել, բայց սկանավորումը դա չապացուցեց։ UDP-ն չի կրում ոչ մի կապի ձեռքսեղմում, և WireGuard-ը չի պատասխանում այն ամենին, ինչ չի կարող նույնականացնել, ուստի լռությունը սպասված պատասխանն է փորձարկումների մեծ մասի համար։

Փոխարենը աշխատեք հաճախորդից դեպի դուրս, և սկանավորումը դիտարկեք որպես մեկ թույլ տվյալների կետ մի քանիսի մեջ։

Ինչ կարող է տեսնել սկաները և ինչ՝ ոչ

UDP սկաները ուղարկում է բեռ և սպասում։ Եթե վերադառնում է ICMP port-unreachable, այն կարող է նավահանգիստը հաղորդել որպես փակ։ Եթե ոչինչ չի վերադառնում, արդյունքը նախագծմամբ երկիմաստ է՝ զտված ուղի, բացակայող հոսթ և աշխատող ծառայություն, որը անտեսել է բեռը, բոլորը ստեղծում են նույն լռությունը։ Երեք տարբեր վիճակ, մեկ ելքի տող։

WireGuard-ը դիտավորությամբ ավելի է վատացնում այդ երկիմաստությունը։ Արձանագրությունը փաթեթն ընդունում է միայն այն ժամանակ, երբ այն նույնականացվում է, ուստի սխալ բանալիներով փորձարկումը դեն է նետվում առանց պատասխանի։ Չկա ոչ բաններ, ոչ տարբերակի տող և ոչ սխալի հաղորդագրություն՝ մատնահետք վերցնելու համար։

Նույն նավահանգստի համարով TCP թեստը ոչ մի կապակցված բան չի ստուգում։ Այն գործարկում է մեկ այլ լսող, որը կարող է չլինել, և նրա մերժումը ոչինչ չի ասում UDP-ի մասին։

Ուստի բաց զտված վիճակները նկարագրում են սկաների անորոշությունը ավելի ճշգրիտ, քան նկարագրում են ձեր սերվերը։

Անցեք իրական հաճախորդով պրոֆիլից դեպի ներս

Սկսեք հաճախորդի սեփական տեսանկյունից։ Ինտերֆեյսը ունի՞ հասցե, կոնֆիգուրացիան նշո՞ւմ է ճիշտ վերջնակետը, և ձեռքսեղմումների հաշվիչը շարժվու՞մ է, երբ փորձվում է կապ։ Հաճախորդը, որը երբեք փաթեթ չի ուղարկել, և հաճախորդը, ում փաթեթները դեն են նետվել, կարգավիճակի պատուհանում նույն տեսքն ունեն։ Միայն հաշվիչներն են տարբերում նրանց, ուստի նախ կարդացեք հաշվիչները։

Այնուհետև դիտեք սերվերի կողմը, մինչ մեկ լիազորված փորձ է տեղի ունենում, փոխարենը երրորդ տեղից առանձին սկանավորում գործարկելու:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Առաջին հրամանը հաղորդում է վերջին ձեռքսեղմումը յուրաքանչյուր գործընկերոջ համար, ինչը ուղղակի ապացույց է, որ նույնականացված փոխանակումը ավարտվել է։ Երկրորդը ցույց է տալիս, թե արդյոք լսողի փաթեթներն ընդհանրապես հասնում են, ինչը մեկ քայլով առանձնացնում է ուղու խնդիրը կոնֆիգուրացիայի խնդրից։

Եթե գրառումը ոչինչ չի ցույց տալիս, փաթեթը երբեք չի հասել հոսթին, և թունելի կոնֆիգուրացիան կասկածյալ չէ։ Եթե այն ցույց է տալիս սպասված հասցեից եկող փաթեթներ, մինչ ձեռքսեղմումը մնում է զրոյի վրա, բանալիները կամ գործընկերոջ թույլատրված հասցեները հաջորդ տեղն են, որտեղ պետք է նայել։

Համակարգեք սերվերի վրա, երբ դուք այն կառավարում եք

Հաստատեք, որ լսողը գոյություն ունի, և որ մատակարարի հրաուղիղ պատը թույլ է տալիս UDP նավահանգիստը։ Հոսթի հրաուղիղ պատի կանոնը և ամպային անվտանգության խումբը երկու անկախ դարպասներ են, և նրանցից յուրաքանչյուրը կարող է դեն նետել փաթեթ, որը մյուսը թույլատրել է։ Ստուգեք երկուսն էլ կոնֆիգուրացիայի իրական նավահանգստի դեմ, ոչ թե ձեր հիշած նավահանգստի։

Հասցեն նույնքան կարևոր է, որքան նավահանգիստը։ Հատուկ հասցեով լսող սերվերը չի պատասխանի մեկ այլ հասցեով եկող փաթեթին, և բազում ինտերֆեյսներով հոսթը կարող է փորձարկումը ստանալ այն ինտերֆեյսով, որը դուք չէիք նկատի ունեցել։

Պահեք յուրաքանչյուր թեստ այն համակարգերի ներսում, որոնք թույլատրված եք փորձարկել։ Օգտակար համեմատությունը մեկ իրական հաճախորդի փորձի և սպասվող սերվերի ուղու միջև է, ոչ թե նույն մատակարարին պատահաբար պատկանող հասցեների ավելի լայն սանրում։

Սկանավորման արդյունքը ազնվորեն կարդալը

Սկանավորումը էժան միջոց է ստուգելու, որ հոսթը գոյություն ունի և որ նավահանգիստը ակնհայտորեն չի արգելափակվում միջանկյալ սարքի կողմից։ Դա նույնականացված արձանագրության հասանելիության ապացույց չէ և, իհարկե, կոնֆիգուրացիայի թեստ չէ։

Ավելի ամուր ապացույցը ավարտված ձեռքսեղմումն է այն հաճախորդից, որն իսկապես կարևոր է ձեզ, որին հաջորդում է հարցում, որն օգտագործում է թունելը և ստանում պատասխան։ Այդ հաջորդականությունը մեկ անգամով գործարկում է բանալիները, թույլատրված հասցեները, երկու հրաուղիղ պատերը և վերադարձի ուղին։

Այնտեղ, որտեղ իրական փորձը ձախողվում է, խափանումը դեռ պետք է ախտորոշվի հաճախորդի հաշվիչներով և սերվերի գրառմամբ, այլ ոչ թե մեկ այլ փորձարկումով։ Արձանագրության նկարագրությունը բացատրում է, թե ինչու չնույնականացված փաթեթը պատասխան չի ստանում, և դա է սկանավորման արդյունքի երկիմաստության ամբողջ պատճառը։