UDP-skönnun segir siað: er WireGuard-jafningi þinn í raun niðri?

Skannar prenta opið eða siað fyrir UDP-gátt, og niðurstaðan fylgir venjulega innan nokkurra sekúndna: göngin eru biluð. Það kann að vera, en skönnunin sannaði það ekki. UDP ber enga tengingarhandstöðu, og WireGuard svarar engu sem það getur ekki auðkennt, þannig að þögn er vænt svar við flestum prufum.

Vinnu í staðinn frá biðlaranum og út, og líttu á skönnunina sem eitt veikt gagnapunkt meðal fleiri.

Hvað skanninn getur og getur ekki séð

UDP-skanni sendir farm og bíður. Ef ICMP port-unreachable kemur til baka getur hann tilkynnt gáttina sem lokaða. Ef ekkert kemur til baka er niðurstaðan óskýr að hönnun: siað slóð, fjarverandi hýsill og keyrandi þjónusta sem hunsaði farminn framleiða alla sömu þögn. Þrjú ólík ástand, ein útstrengur.

WireGuard gerir þá óskýrleika verri viljandi. Samskiptareglan samþykkir pakka aðeins þegar hann auðkennist, svo prufa með röngum lyklum er hent án svars. Það er engin borði, enginn útgáfustrengur og engin villuboð til að fingrafara.

TCP-próf á sama gáttarnúmeri prófar ekkert tengt. Það reynir á annan hlustanda sem kann að vera ekki til, og synjun hans segir ekkert um UDP.

Opin siað ástand lýsa því óvissu skannsins nákvæmari en þau lýsa þjóninum þínum.

Farðu í gegnum raunverulega biðlarann frá sniðinu inn á við

Byrjaðu á sýn biðlarans sjálfs. Hefur viðmótið heimilisfang, nefnir stillingin rétta endapunkt og hreyfist handstöðuteljarinn þegar reynt er að tengjast? Biðlari sem sendi aldrei pakka og biðlari sem pakkarnir voru felldir frá líta eins út í stöðuglugga. Aðeins teljarnir greina þá, svo lestu teljana fyrst.

Fylgstu síðan með þjónshliðinni á meðan ein leyfð tilraun á sér stað, í stað þess að keyra aðskilda skönnun frá þriðjum stað:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Fyrsta skipunin tilkynnir síðustu handstöðu á hvern jafningja, sem er bein sönnun þess að auðkennd skipti hafi klárast. Sú seinni sýnir hvort pakkar fyrir hlustandann berist yfirhöfuð, sem aðgreinir slóðarvandamál frá stillingarvandamáli í einu skrefi.

Ef upptakan sýnir ekkert náði pakkinn aldrei til hýsilsins og göngustillingin er ekki grunuð. Ef hún sýnir pakka berast frá væntu heimilisfangi á meðan handstaðan helst í núlli eru lyklarnir eða leyfð heimilisföng jafningsins næsti staður til að skoða.

Tengdu saman á þjóninum þegar þú stjórnar honum

Staðfestu að hlustandinn sé til og að eldveggur þjónustuveitandans leyfi UDP-gáttina. Regla hýsilseldveggs og öryggishópur í skýi eru tvö óháð hlið, og hvort um sig getur fellt pakka sem hitt leyfði. Athugaðu bæði gegn raunverulegu gáttinni í stillingunni frekar en gáttinni sem þú manst.

Heimilisfangið skiptir jafn miklu máli og gáttin. Þjónn sem hlustar á tiltekið heimilisfang svarar ekki pakka sem berst á annað, og hýsill með mörg viðmót getur tekið prufuna á viðmótinu sem þú ætlaðir ekki.

Haltu hverri prófun innan kerfa sem þú hefur leyfi til að prófa. Samanburðurinn sem nýtist er milli einnar raunverulegrar biðlaratilraunar og væntrar þjónsslóðar, ekki breiðari sóp af heimilisföngum sem tilheyra fyrir tilviljun sama þjónustuveitanda.

Að lesa skönnunarniðurstöðu heiðarlega

Skönnun er ódýr leið til að athuga að hýsill sé til og að gátt sé ekki augljóslega blokkuð af millitæki. Hún er ekki sönnun á aðgengi fyrir auðkenndri samskiptareglu og alls ekki stillingarpróf.

Sterkari sönnun er kláruð handstaða frá biðlaranum sem þér er raunverulega annt um, og síðan beiðni sem notar göngin og fær svar. Sú röð reynir á lyklana, leyfðu heimilisföngin, báða eldveggi og afturleiðina í einu.

Þar sem raunverulega tilraunin mistekst verður samt að greina bilunina með teljum biðlarans og upptöku þjónsins frekar en með annarri prufu. Lýsing samskiptareglunnar útskýrir hvers vegna óauðkenndur pakki fær ekkert svar, og það er öll ástæðan fyrir því að skönnunarniðurstaðan er óskýr.