UDP сканері «сүзілген» дейді: WireGuard серіктесіңіз шынымен өшіп тұр ма?

Сканерлер UDP порты үшін ашық немесе сүзілген деп шығарады, ал қорытынды әдетте бірнеше секунд ішінде келеді: туннель бұзылған. Болуы мүмкін, бірақ сканерлеу мұны дәлелдеген жоқ. UDP ешқандай қосылым қол алысуын тасымалдамайды, ал WireGuard өзі растай алмайтын ештеңеге жауап бермейді, сондықтан үнсіздік көптеген сынақтар үшін күтілетін жауап.

Оның орнына клиенттен сыртқа қарай жұмыс істеңіз және сканерлеуді бірнеше әлсіз деректер нүктесінің бірі ретінде қарастырыңыз.

Сканер нені көре алады, нені көре алмайды

UDP сканері жүкті жіберіп, күтеді. Егер ICMP port-unreachable қайтса, ол портты жабық деп хабарлай алады. Егер ештеңе қайтпаса, нәтиже құрылымы бойынша екіұшты: сүзілген жол, жоқ хост және жүкті елемеген жұмыс істеп тұрған қызмет — барлығы бірдей үнсіздік тудырады. Үш түрлі күй, бір шығыс жолы.

WireGuard бұл екіұштылықты әдейі нашарлатады. Хаттама пакетті тек ол расталған кезде қабылдайды, сондықтан қате кілттермен келген сынақ жауапсыз лақтырылады. Саусақ ізін алу үшін баннер де, нұсқа жолы да, қате хабарламасы да жоқ.

Сол порт нөміріндегі TCP сынағы байланысты ештеңені тексермейді. Ол болмауы мүмкін басқа тыңдаушыны іске қосады, ал оның бас тартуы UDP туралы ештеңе айтпайды.

Сондықтан ашық сүзілген күйлер серверіңізді емес, сканердің белгісіздігін дәлірек сипаттайды.

Нақты клиентті профильден ішке қарай жүріп өтіңіз

Клиенттің өз көрінісінен бастаңыз. Интерфейсте мекенжай бар ма, конфигурация дұрыс соңғы нүктені көрсете ме және қосылуға әрекет жасалғанда қол алысу санауышы қозғала ма? Ешқашан пакет жібермеген клиент пен пакеттері тасталған клиент күй терезесінде бірдей көрінеді. Оларды тек санауыштар ажыратады, сондықтан алдымен санауыштарды оқыңыз.

Содан кейін үшінші жерден бөлек сканерлеу жүргізудің орнына, бір рұқсат етілген әрекет кезінде сервер жағын бақылаңыз:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Бірінші пәрмен әр серіктес бойынша соңғы қол алысуды хабарлайды, бұл расталған алмасудың аяқталғанының тікелей дәлелі. Екіншісі тыңдаушыға арналған пакеттердің мүлде келетінін көрсетеді, бұл бір қадамда жол мәселесін конфигурация мәселесінен ажыратады.

Егер жазба ештеңе көрсетпесе, пакет хостқа ешқашан жетпеген және туннель конфигурациясы күдікті емес. Егер күтілетін мекенжайдан пакеттер келе жатқанын көрсетіп, қол алысу нөлде қалса, келесі қаралатын жер — кілттер немесе серіктестің рұқсат етілген мекенжайлары.

Серверді басқарған кезде онда корреляция жасаңыз

Тыңдаушының бар екенін және провайдердің желілік қорғанысы UDP портына рұқсат беретінін растаңыз. Хосттың желілік қорғаныс ережесі мен бұлттық қауіпсіздік тобы — екі тәуелсіз қақпа, және олардың кез келгені екіншісі рұқсат еткен пакетті тастай алады. Екеуін де конфигурациядағы нақты портқа қарсы тексеріңіз, есте қалған портқа емес.

Мекенжай порт сияқты маңызды. Белгілі бір мекенжайды тыңдайтын сервер басқа мекенжайға келген пакетке жауап бермейді, ал бірнеше интерфейсі бар хост сынақты сіз ойламаған интерфейстен қабылдауы мүмкін.

Әрбір сынақты тексеруге рұқсатыңыз бар жүйелердің ішінде ұстаңыз. Пайдалы салыстыру — бір нақты клиент әрекеті мен күтілетін сервер жолының арасында, сол провайдерге кездейсоқ тиесілі мекенжайларды кеңірек қарап шығу емес.

Сканерлеу нәтижесін адал оқу

Сканерлеу — хосттың бар екенін және порттың аралық құрылғымен айқын бұғатталмағанын тексерудің арзан жолы. Бұл расталған хаттама үшін қолжетімділік дәлелі емес және әрине конфигурация сынағы емес.

Күштірек дәлел — сізге шынымен маңызды клиенттен аяқталған қол алысу, одан кейін туннельді пайдаланып, жауап алатын сұраныс. Бұл тізбек кілттерді, рұқсат етілген мекенжайларды, екі желілік қорғанысты және қайту жолын бірден тексереді.

Нақты әрекет сәтсіз аяқталған жерде ақаулықты бәрібір басқа сынақпен емес, клиент санауыштары мен сервер жазбасымен диагностикалау керек. Хаттама сипаттамасы расталмаған пакеттің неге жауап алмайтынын түсіндіреді, ал сканерлеу нәтижесінің екіұшты болуының бүкіл себебі осы.