UDP VPN порт сканерлеуде үнсіз бе? Бұл неге болады
WireGuard және қатайтылған OpenVPN аутентификациядан өтпеген датаграммаларды жауап бермей тастайды. Сканерден келетін үнсіздік күтілетін мінез-құлық, жабық порт емес.
Сіз VPN портын сканерлейсіз, жауап алмайсыз және қызмет тоқтаған немесе firewall жабық деп қорытынды жасайсыз. WireGuard-та және өз аутентификациясын алып жүретін OpenVPN басқару арналарында бұл қорытынды дұрыс емес. Жарамды аутентификация материалы жоқ датаграмма жауапсыз тасталады, сондықтан үнсіздік — сау қызметтің сырттан көрінісі. Туннель қате болмас бұрын сынақ қате.
Үнсіздік — протокол, ақау емес
UDP-де қосылым орнату жоқ, сондықтан сканерге ашық портты сүзілген порттан ажыратуға мүмкіндік беретін SYN де, растау да жоқ. Сынақ жеке датаграмма ретінде келеді және қызмет оның күтілетін протоколға сәйкес келетінін тексереді. Сәйкес келмесе, пакет тасталады, ал тастау — ақау емес, құжатталған мінез-құлық.
WireGuard өзінің handshake хабарларын криптографиялық түрде тексереді және сәтсіз болатынның бәрін елемейді. OpenVPN tls-auth немесе tls-crypt арқылы өзінің басқару арнасы үшін дәл солай істейді. Екі жағдайда да ерікті жүктеме пайдаланушыға бағытталған кезеңге ешқашан жетпейді, сондықтан жауап беретін ештеңе де, қайтаратын қате де жоқ.
TCP болса, жабық порттан reset алар едіңіз. UDP сізді белгісіздікте қалдырады, сканерлер мұны болжаудың орнына ашық немесе сүзілген деп басып шығару арқылы шешеді.
Сканер нені қорытындылай алады, нені алмайды
Сканерлеу нәтижесі жіберілген жүктеме қаншалықты ақпаратты болса, соншалықты ақпаратты. Мүмкін бақылауларды әрқайсысы шын мәнінде нені қолдайтынына қарай реттеңіз:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Үшінші жолды тізімдегі жалғыз оң сынақ ретінде оқыңыз. Ол нақты профильді, нақты кілтті және дұрыс соңғы нүктені қажет етеді, ал кәдімгі сканерде дәл осы жоқ.
Жолдың екі шетіне қараңыз
Өзіңіз басқаратын сервер үшін қандай да бір қорытынды жасамас бұрын интерфейсте түсіріңіз, содан кейін қызметтен не көргенін сұраңыз. Екі команда да шлюзде root қажет етеді:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showЕгер интерфейсте ешбір пакет көрінбесе, жол оны қызмет әлі ештеңе көрмес бұрын тастаған, ал келесі аялдама — маршруттау және сүзу. Егер пакеттер келсе, бірақ бірде-бір handshake аяқталмаса, қызмет қолжетімді және сәйкессіздік кілттерде, соңғы нүкте конфигурациясында немесе протокол нұсқасында. Бұл салыстыру сканер жауап бере алмаған сұраққа жауап береді. Оны нақты клиент қосылуға тырысқанда іске қосыңыз, сканер өзін қайталағанда емес.
Сынақты өзгертіңіз, қорғанысты емес
Азғыратын қысқа жол — диагностика жауап алуы үшін басқару арнасының қорғанысын өшіру. Бұл нақты қауіпсіздік қасиетін әдемірек сканерлеу нәтижесіне айырбастайды және бұл дұрыс емес бағыт. Оның орнына мақұлданған желіден жарамды профиль пайдаланыңыз және салыстыру қайталануы үшін соңғы нүкте мен уақытты жазып алыңыз.
Ең пайдалы сынақ — дифференциалды: бірдей профиль жұмыс істейтін жолда және жұмыс істемейтін жолда. Егер жұмыс істейтін жол handshake шығарса, ал сәтсіз жол интерфейсте ештеңе шығармаса, сіз ештеңені әлсіретпей үзілу орнын таптыңыз.
Сондықтан жауапсыз UDP пакеті сервердің офлайн екенін де, оның қауіпсіз екенін де дәлелдемейді. Ол осы сынақтың, осы жолда, осы сәтте қабылданбағанын дәлелдейді.