UDP VPN порт сканеринде үнсүзбү? Бул эмне үчүн болот
WireGuard жана катуулантылган OpenVPN аутентификациядан өтпөгөн датаграммаларды жооп бербей таштайт. Сканерден келген үнсүздүк күтүлгөн жүрүм-турум, жабык порт эмес.
Сиз VPN портун сканерлейсиз, жооп албайсыз жана кызмат токтогон же firewall жабык деп жыйынтык чыгарасыз. WireGuard'да жана өзүнүн аутентификациясын алып жүргөн OpenVPN башкаруу каналдарында бул жыйынтык туура эмес. Жарактуу аутентификация материалы жок датаграмма жоопсуз ташталат, ошондуктан үнсүздүк — ден соолугу жакшы кызматтын сырттан көрүнүшү. Туннел жаңылыш болоордон мурун сыноо жаңылыш.
Үнсүздүк — протокол, бузулуу эмес
UDP'де байланыш орнотуу жок, ошондуктан сканерге ачык портту сүзүлгөн порттон ажыратууга мүмкүндүк берген SYN да, ырастоо да жок. Сыноо өзүнчө датаграмма катары келет жана кызмат анын күтүлгөн протоколго туура келерин текшерет. Туура келбесе, пакет ташталат, ал эми таштоо — бузулуу эмес, документтелген жүрүм-турум.
WireGuard өзүнүн handshake билдирүүлөрүн криптографиялык жактан текшерет жана ийгиликсиз болгондун баарын этибарга албайт. OpenVPN tls-auth же tls-crypt менен өзүнүн башкаруу каналы үчүн ушундай кылат. Эки учурда тең эркин жүктөм колдонуучуга багытталган баскычка эч качан жетпейт, ошондуктан жооп берүүгө эч нерсе жок жана кайтарууга ката жок.
TCP болсо, жабык порттон сизге reset келмек. UDP сизди белгисиздикте калтырат, сканерлер муну божомолдоонун ордуна ачык же сүзүлгөн деп басып чыгаруу менен чечет.
Сканер эмнени жыйынтыктай алат жана эмнени албайт
Сканерлөө натыйжасы жиберилген жүктөм канчалык маалыматтуу болсо, ошончолук маалыматтуу. Мүмкүн болгон байкоолорду ар бири чындыгында эмнени колдой турганына жараша иреттеңиз:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Үчүнчү сапты тизмедеги жалгыз оң сыноо катары окуңуз. Ага чыныгы профиль, чыныгы ачкыч жана туура акыркы чекит керек, ал эми кадимки сканерде ушундан эле жок.
Жолдун эки учуна караңыз
Өзүңүз башкарган сервер үчүн кандайдыр бир жыйынтык чыгарардан мурун интерфейске жазып алыңыз, анан кызматтан эмнени көргөнүн сураңыз. Эки буйрук тең шлюзде root талап кылат:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showЭгер интерфейсте эч кандай пакет көрүнбөсө, жол аны кызмат эч нерсе көрө электе таштаган, ал эми кийинки токтоо — маршруттоо жана сүзүү. Эгер пакеттер келсе, бирок бир да handshake бүтпөсө, кызмат жеткиликтүү жана дал келбестик ачкычтарда, акыркы чекиттин конфигурациясында же протоколдун версиясында. Ошол салыштыруу сканер жооп бере албаган суроого жооп берет. Аны чыныгы кардар туташууга аракет кылып жатканда иштетиңиз, сканер өзүн кайталап жатканда эмес.
Сыноону өзгөртүңүз, коргоону эмес
Азгырган кыска жол — диагностика жооп алышы үчүн башкаруу каналынын коргоосун өчүрүү. Бул чыныгы коопсуздук касиетин коозураак сканерлөө натыйжасына алмаштырат жана бул туура эмес багыт. Ошонун ордуна бекитилген тармактан жарактуу профиль колдонуңуз жана салыштыруу кайталанышы үчүн акыркы чекит менен убакытты жазып алыңыз.
Эң пайдалуу сыноо — дифференциалдык: бирдей профиль иштеген жолдо жана иштебеген жолдо. Эгер иштеген жол handshake чыгарса, ийгиликсиз жол интерфейсте эч нерсе чыгарбаса, сиз эч нерсени алсыратпастан үзүлүү ордун таптыңыз.
Ошондуктан жоопсуз UDP пакети сервер офлайн экенин да, анын коопсуз экенин да далилдебейт. Ал ушул сыноонун, ушул жолдо, ушул учурда кабыл алынбаганын далилдейт.