UDP-VPN stëll beim Portscan? Firwat dat geschitt
WireGuard a gehärte OpenVPN verwerfen Datagrammen, déi d'Authentifikatioun net bestoen, ouni ze äntweren. Stëllt vun engem Scanner ass erwaart Verhalen, keen zouene Port.
Dir scannt de VPN-Port, kritt keng Äntwert a schléisst, datt den Déngscht ausgefalen oder d'Firewall zou ass. Bei WireGuard, an och bei OpenVPN-Kontrollkanäl, déi hir eege Authentifikatioun droen, gëllt dee Schluss net. En Datagram ouni gültegt Authentifikatiounsmaterial gëtt ouni Äntwert verworf, also ass Stëllt dat, wéi en gesonde Déngscht vun dobausse gesäit. D'Prüfung ass falsch, ier den Tunnel et ass.
Stëllt ass de Protokoll, keen Defekt
UDP huet keen Uschlossopbau, also gëtt et keen SYN an och keng Bestätegung, déi engem Scanner et erlaben, en oppene Port vun engem gefilterten ze ënnerscheeden. Eng Prüfung kënnt als isoléierten Datagram an, an den Déngscht kontrolléiert, ob e mat deem Protokoll iwwerenee kënnt, deen e sech evit. Wann net, gëtt de Pak verworf, an d'Verwerfe ass dat dokumentéiert Verhalen an net eng Feelfunktioun.
WireGuard validéiert seng Handshake-Noriichten kryptografesch an ignoréiert alles, wat feel schléit. OpenVPN mat tls-auth oder tls-crypt mécht dat selwecht fir säi Kontrollkanal. An allen zwee Fäll erreecht eng arbiträr Belaaschtung ni eng Etapp, déi op de Benotzer geriicht ass, also gëtt et näischt ze äntweren an och keen Feeler zréckzeginn.
TCP hätt Iech en Reset vun engem zouenen Port ginn. UDP léisst Iech an der Ambiguitéit, déi Scanner opléisen, andeems se op oder gefiltert drécken, amplaz ze roden.
Wat en Scanner schléisse kann a wat net
D'Resultat vun engem Scan ass just sou informativ wéi d'Belaaschtung, déi en geschéckt huet. Sortéiert déi méiglech Observatiounen nom deem, wat jidderee vun hinnen tatsächlech stäipt:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Liest déi drëtt Zeil als den eenzegen positiven Test an der Lëscht. En erfuerdert de richtege Profil, de richtege Schlëssel an de richtege Endpunkt, an dat ass genee dat, wat en allgemenge Scanner net huet.
Kuckt op béid Enner vum Wee
Fir e Server, deen Dir administréiert, hëlt op der Interface op, ier Dir enger Schluss zitt, a frot duerno den Déngscht, wat en gesinn huet. Béid Kommandos brauchen root um Gateway:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showWa kee Pak op der Interface erschéngt, huet de Wee en verworfen, ier den Déngscht eppes gesinn huet, an de nächsten Haltepunkt ass Routing a Filterung. Wa Päck ukommen, awer keen Handshake fäerdeg gëtt, ass den Déngscht erreechbar an d'Differenz läit a Schlësselen, Endpunktkonfiguratioun oder Protokollversioun. Dee Verglach beäntwert d'Fro, déi de Scanner net konnt. Féiert en aus, wärend e richtege Client probéiert sech ze verbannen, net wärend de Scanner sech widderhëlt.
Ännert den Test, net de Schutz
Den verlockende Kuerzweeg ass, de Schutz vum Kontrollkanal auszeschalten, sou datt eng Diagnos eng Äntwert kritt. Dat tauscht eng richteg Sécherheetseigenschaft géint e méi schéine Scanresultat, an et ass déi falsch Richtung. Benotzt amplaz e gültege Profil vun engem approuvéierten Netz, a notéiert den Endpunkt an d'Zäit, sou datt de Verglach widderhuelbar ass.
Den nëtzlechsten Test ass en differentialen: dee selwechte Profil op engem Wee, deen funktionéiert, an op deem, deen et net mécht. Wa de funktionéierende Wee en Handshake produzéiert an dee feelenden Wee op der Interface näischt produzéiert, hutt Dir de Broch lokaliséiert, ouni eppes ze schwächen.
En onbeäntwerten UDP-Pak beweist also weder, datt de Server offline ass, nach datt en sécher ass. Et beweist, datt dës Prüfung, op dësem Wee, zu dësem Moment, net akzeptéiert gouf.