UDP-VPN þegir við portskönnun? Hvers vegna gerist þetta
WireGuard og harðgað OpenVPN henda datagrammum sem standast ekki auðkenningu án þess að svara. Þögn frá skanna er væntanleg hegðun, ekki lokuð port.
Þú skannar VPN-portið, fær ekkert svar og ályktar að þjónustan sé niðri eða að eldveggurinn sé lokaður. Hjá WireGuard, og hjá stýrirásum OpenVPN sem bera sína eigin auðkenningu, gildir sú ályktun ekki. Datagram án gilds auðkenningarefnis er hent án svars, svo þögn er það hvernig heilbrigð þjónusta lítur út að utan. Prófið er rangt áður en göngin eru það.
Þögnin er prótókóllinn, ekki bilun
UDP hefur enga tengingu sem þarf að setja upp, svo það er ekkert SYN og engin staðfesting sem myndi leyfa skanna að greina opið port frá síuðu. Próf kemur sem einangrað datagram, og þjónustan athugar hvort það passi við prótókólinn sem hún býst við. Þegar það passar ekki er pakkanum hent, og að henda er skjalfest hegðun frekar en bilun.
WireGuard staðfestir handshake-skilaboð sín dulritunarlega og hunsar allt sem mistekst. OpenVPN með tls-auth eða tls-crypt gerir það sama fyrir stýrirás sína. Í báðum tilvikum nær handahófskenndur farmur aldrei stigi sem snýr að notandanum, svo það er ekkert til að svara með og engin villa til að skila.
TCP hefði gefið þér reset frá lokuðu porti. UDP skilur þig eftir í óvissu, sem skannar leysa með því að prenta opið eða síuð í stað þess að giska.
Hvað skanni getur og getur ekki ályktað
Niðurstaða skönnunar er aðeins jafn upplýsandi og farmurinn sem hún sendi. Raðaðu mögulegum athugunum eftir því hvað hver þeirra styður í raun:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Lestu þriðju röðina sem eina jákvæða prófið á listanum. Það krefst raunverulegs sniðs, raunverulegs lykils og rétts endapunkts, og það er einmitt það sem almennur skanni hefur ekki.
Líttu á báða enda slóðarinnar
Fyrir þjón sem þú stjórnar skaltu grípa á viðmótinu áður en þú dregur einhverja ályktun, og spurðu þjónustuna svo hvað hún sá. Báðar skipanirnar krefjast root á gáttinni:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showEf engin pakki birtist á viðmótinu henti slóðin honum áður en þjónustan sá nokkuð, og næsta stopp er leiðing og síun. Ef pakkar berast en ekkert handshake klárast er þjónustan aðgengileg og misræmið er í lyklum, uppsetningu endapunkts eða útgáfu prótókólsins. Sá samanburður svarar spurningunni sem skanninn gat ekki. Keyrðu hann á meðan raunverulegur biðlari reynir að tengjast, ekki á meðan skanninn endurtekur sig.
Breyttu prófinu, ekki verndinni
Freistandi flýtileiðin er að slökkva á vernd stýrirásarinnar svo greining fái svar. Það skiptir raunverulegri öryggiseiginleika út fyrir fallegri skönnunarniðurstöðu, og það er röng stefna. Notaðu í staðinn gilt snið frá samþykktu neti og skráðu endapunkt og tíma svo samanburðurinn sé endurtakanlegur.
Nýtilegasta prófið er mismunarpróf: sama snið á slóð sem virkar og á slóðinni sem virkar ekki. Ef virka slóðin framleiðir handshake og misheppnaða slóðin framleiðir ekkert á viðmótinu hefur þú staðsett rofið án þess að veikja nokkuð.
Ósvarað UDP-pakki sannar því hvorki að þjónninn sé ótengdur né að hann sé öruggur. Hann sannar að þetta próf, á þessari slóð, á þessari stundu, var ekki samþykkt.