UDP-Scan seet gefiltert: ass däi WireGuard-Peer wierklech erof?

Scanneren drécken op oder gefiltert fir en UDP-Port aus, an de Schluss kënnt meeschtens bannent Sekonnen: den Tunnel ass futti. Et kann sinn, awer de Scan huet dat net festgestallt. UDP dréit keen Uschloss-Handshake, a WireGuard äntwert op näischt, wat et net authentifizéiere kann, also ass Stille déi erwaarde Äntwert op déi meescht Proben.

Schaff amplaz vum Client no baussen, a behandel de Scan als ee schwaachen Datepunkt ënnert verschiddene.

Wat den Scanner ka gesinn an wat net

En UDP-Scanner schéckt eng Belaaschtung a waart. Kommt en ICMP port-unreachable zréck, kann en de Port als zou rapporteren. Kommt näischt zréck, ass d’Resultat vun der Konstruktioun hier zweedeiteg: en gefilterte Wee, en absent Host an en aktive Service, deen d’Belaaschtung ignoréiert huet, produzéieren all déi selwecht Stille. Dräi verschidden Zoustänn, eng eenzeg Ausgabzeechenkette.

WireGuard verschäerft déi Zweedeitegkeet mat Absicht. De Protokoll akzeptéiert e Paket nëmmen, wann et sech authentifizéiert, also gëtt eng Prob mat de falsche Schlësselen ouni Äntwert verworf. Et gëtt keng Banner, keng Versiounszeechenkette a keng Fehlermeldung fir ze fingerprinten.

En TCP-Test op der selwechter Portnummer testet näischt Zesummenhängendes. En exercéiert en aneren Nolauschterer, deen et vläicht net gëtt, a seng Oflehnung seet näischt iwwer UDP.

Op gefiltert Zoustänn beschreiwen also d’Onsécherheet vum Scanner méi genee wéi däi Server.

Géi de richtege Client vum Profil no banne durch

Fänk mat der eege Siicht vum Client un. Huet d’Interface eng Adress, nennt d’Konfiguratioun de richtege Endpunkt, a beweegt sech den Handshake-Zähler, wann eng Verbindung probéiert gëtt? E Client, deen ni e Paket geschéckt huet, an e Client, deem seng Paketen verworf goufen, gesinn an engem Statusfënster identesch aus. Nëmmen d’Zähler ënnerscheeden se, also liest d’Zähler als éischt.

Beobacht duerno d’Serversäit, wärend eng autoriséiert Versuch geschitt, amplaz en separate Scan vun enger drëtter Plaz ze starten:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Den éischte Befehl mellt de leschten Handshake pro Peer, wat en direkte Beweis ass, datt en authentifizéierten Austausch ofgeschloss gouf. Den zweete weist, ob Paket fir den Nolauschterer iwwerhaapt ukommen, wat e Wee-Problem an engem Schrëtt vun engem Konfiguratiounsproblem trennt.

Weist d’Opnam näischt, huet de Paket den Host ni erreecht an d’Tunnelkonfiguratioun ass net verdächteg. Weist se ukommend Pakete vun der erwaarder Adress, wärend den Handshake op null bleift, sinn d’Schlësselen oder déi erlaabten Adresse vum Peer déi nächst Plaz fir nozekucken.

Korreléier um Server, wann s du en administréiers

Bestäteg, datt den Nolauschterer existéiert an datt d’Firewall vum Anbieter den UDP-Port erlaabt. Eng Host-Firewall-Regel an eng Cloud-Sécherheetsgrupp sinn zwee onofhängeg Paarten, an jiddweree kann e Paket verwerfen, dat déi aner erlaabt huet. Kontrolléier béid géint den tatsächleche Port an der Konfiguratioun an net géint de Port, un deen s du denks.

D’Adress ass esou wichteg wéi de Port. En Server, deen op enger bestëmmter Adress lauschtert, äntwert net op e Paket, dat op enger anerer ukommt, an en Host mat ville Interface-Punkten kann d’Prob op deem Interface empfänken, deen s du net gemengt hues.

Hal all Test bannent Systemer, fir déi s du autoriséiert bass. Den nëtzlechen Verglach ass tëschent enger richteger Client-Versuch an dem erwaarden Serverwee, net ene méi breeden Duerchgang iwwer Adressen, déi zoufälleg zum selwechten Anbieter gehéieren.

En Scan-Resultat éierlech liesen

En Scan ass eng preiswäert Manéier ze kontrolléieren, ob en Host existéiert an ob e Port net offensichtlech vun engem Zwëschegerät blockéiert gëtt. En ass kee Beweis fir d’Erreechbarkeet vun engem authentifizéierte Protokoll a sécherlech keen Konfiguratiounstest.

De stäerkste Beweis ass en ofgeschlossenen Handshake vum Client, deen dir wierklech wichteg ass, gefollegt vun enger Ufro, déi den Tunnel benotzt an eng Äntwert kritt. Déi Sequenz exercéiert d’Schlësselen, déi erlaabten Adressen, béid Firewallen an den Zeréckwee an engem Zuch.

Wou de richtege Versuch feelt, muss de Feeler awer mat de Zähler vum Client an der Opnam vum Server diagnostizéiert ginn, net mat enger weiderer Prob. D’Protokollbeschreiwung erkläert, firwat en net-authentifizéierte Paket keng Äntwert kritt, an dat ass de ganzen Grond, firwat d’Scan-Resultat zweedeiteg ass.