Скенирањето UDP вели филтрирано: дали твојот WireGuard партнер е навистина исклучен?

Скенерите испишуваат отворено или филтрирано за UDP порта, и заклучокот обично доаѓа во рок од неколку секунди: тунелот е расипан. Можеби е така, но скенирањето не го докажа тоа. UDP не носи никакво ракување со врската, а WireGuard не одговара на ништо што не може да го автентицира, затоа тишината е очекуваниот одговор на повеќето проби.

Работете наместо тоа од клиентот кон надвор и третирајте го скенирањето како една слаба податочна точка меѓу неколку.

Што скенерот може и што не може да види

UDP скенер испраќа товар и чека. Ако се врати ICMP port-unreachable, може да ја пријави портата како затворена. Ако ништо не се врати, резултатот е двосмислен по дизајн: филтрирана патека, отсутен домаќин и услуга што работи но го игнорирала товарот, сите создаваат иста тишина. Три различни состојби, еден излезен низ.

WireGuard намерно ја влошува таа двосмисленост. Протоколот прима пакет само кога тој се автентицира, затоа проба со погрешни клучеви се отфрла без одговор. Нема банер, низ за верзија и порака за грешка што би се препознале.

TCP тест на истиот број на порта не проверува ништо поврзано. Тој вежба друг слушател што можеби не постои, а неговото одбивање не кажува ништо за UDP.

Затоа отворените филтрирани состојби ја опишуваат несигурноста на скенерот попрецизно отколку што го опишуваат твојот сервер.

Поминете го вистинскиот клиент од профилот навнатре

Започнете со сопствениот поглед на клиентот. Дали интерфејсот има адреса, дали конфигурацијата ја наведува вистинската крајна точка и дали бројачот на ракувања се движи кога се обидува врска? Клиент што никогаш не испратил пакет и клиент чии пакети биле отфрлени изгледаат исто во прозорец за состојба. Само бројачите ги разликуваат, затоа прво читајте ги бројачите.

Потоа набљудувајте ја страната на серверот додека се случува еден овластен обид, наместо да стартувате одделно скенирање од трето место:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Првата команда го пријавува последното ракување по партнер, што е директен доказ дека автентицирана размена завршила. Втората покажува дали пакетите за слушателот воопшто пристигнуваат, што во еден чекор го одделува проблемот со патеката од проблемот со конфигурацијата.

Ако снимката не покажува ништо, пакетот никогаш не стигнал до домаќинот и конфигурацијата на тунелот не е осомничена. Ако покажува пакети што доаѓаат од очекуваната адреса додека ракувањето останува на нула, клучевите или дозволените адреси на партнерот се следното место за проверка.

Корелирајте на серверот кога го администрирате

Потврдете дека слушателот постои и дека заштитниот ѕид на провајдерот ја дозволува UDP портата. Правило на заштитниот ѕид на домаќинот и безбедносна група во облак се две независни порти и секоја од нив може да отфрли пакет што другата го дозволила. Проверете ги двете спрема вистинската порта во конфигурацијата, а не спрема портата што ја паметите.

Адресата е исто толку важна како портата. Сервер што слуша на одредена адреса нема да одговори на пакет што пристигнува на друга, а домаќин со повеќе интерфејси може да ја прими пробата на интерфејсот што не сте го имале на ум.

Држете го секој тест во системи за кои имате овластување. Корисното споредување е помеѓу еден вистински обид на клиентот и очекуваната патека на серверот, а не поширок преглед на адреси што случајно припаѓаат на истиот провајдер.

Чесно читање на резултатот од скенирање

Скенирањето е евтин начин да проверите дали домаќин постои и дали порта не е очигледно блокирана од меѓууред. Тоа не е доказ за достапност за автентициран протокол и сигурно не е тест на конфигурација.

Посилниот доказ е завршено ракување од клиентот што навистина ви е важен, по што следи барање што го користи тунелот и добива одговор. Таа низа ги вежба клучевите, дозволените адреси, двата заштитни ѕида и повратната патека одеднаш.

Каде што вистинскиот обид не успева, дефектот сепак мора да се дијагностицира со бројачите на клиентот и снимката на серверот, а не со уште една проба. Описот на протоколот објаснува зошто неавтентициран пакет не добива одговор, и тоа е целата причина зошто резултатот од скенирањето е двосмислен.