UDP VPN പോർട്ട് സ്കാനിൽ നിശബ്ദമാണോ? ഇത് എന്തുകൊണ്ട് സംഭവിക്കുന്നു
WireGuard ഉം കരുത്തുള്ള OpenVPN ഉം പ്രാമാണീകരണത്തിൽ പരാജയപ്പെടുന്ന ഡാറ്റാഗ്രാമുകൾ മറുപടി നൽകാതെ ഉപേക്ഷിക്കുന്നു. സ്കാനറിൽ നിന്നുള്ള നിശബ്ദത പ്രതീക്ഷിക്കുന്ന സ്വഭാവമാണ്, അടച്ച പോർട്ടല്ല.
നിങ്ങൾ VPN പോർട്ട് സ്കാൻ ചെയ്യുന്നു, മറുപടി ലഭിക്കുന്നില്ല, സേവനം നിലച്ചു അല്ലെങ്കിൽ ഫയർവാൾ അടഞ്ഞിരിക്കുന്നു എന്ന് അനുമാനിക്കുന്നു. WireGuard-ൽ, സ്വന്തം പ്രാമാണീകരണം വഹിക്കുന്ന OpenVPN നിയന്ത്രണ ചാനലുകളിൽ, ആ അനുമാനം ശരിയല്ല. സാധുവായ പ്രാമാണീകരണ വസ്തുവില്ലാത്ത ഡാറ്റാഗ്രാം മറുപടിയില്ലാതെ ഉപേക്ഷിക്കപ്പെടുന്നു, അതിനാൽ പുറത്തുനിന്ന് ആരോഗ്യമുള്ള സേവനം ഇങ്ങനെയാണ് നിശബ്ദമായി കാണപ്പെടുന്നത്. ടണൽ തെറ്റാകുന്നതിന് മുൻപേ പരിശോധന തെറ്റാണ്.
നിശബ്ദത തന്നെയാണ് പ്രോട്ടോക്കോൾ, തകരാറല്ല
UDP-യിൽ കണക്ഷൻ സ്ഥാപിക്കൽ ഇല്ല, അതിനാൽ സ്കാനറിന് തുറന്ന പോർട്ടും ഫിൽട്ടർ ചെയ്ത പോർട്ടും വേർതിരിച്ചറിയാൻ സഹായിക്കുന്ന SYN-ഉം സ്ഥിരീകരണവും ഇല്ല. പരിശോധന ഒരു ഒറ്റപ്പെട്ട ഡാറ്റാഗ്രാമായി എത്തുന്നു, അത് പ്രതീക്ഷിക്കുന്ന പ്രോട്ടോക്കോളുമായി യോജിക്കുന്നുണ്ടോ എന്ന് സേവനം പരിശോധിക്കുന്നു. യോജിക്കുന്നില്ലെങ്കിൽ പാക്കറ്റ് ഉപേക്ഷിക്കപ്പെടുന്നു, ഉപേക്ഷിക്കൽ തകരാറല്ല, രേഖപ്പെടുത്തിയ സ്വഭാവമാണ്.
WireGuard തന്റെ ഹാൻഡ്ഷേക്ക് സന്ദേശങ്ങൾ ക്രിപ്റ്റോഗ്രാഫിക് ആയി സാധൂകരിക്കുകയും പരാജയപ്പെടുന്നതെല്ലാം അവഗണിക്കുകയും ചെയ്യുന്നു. OpenVPN tls-auth അല്ലെങ്കിൽ tls-crypt ഉപയോഗിച്ച് തന്റെ നിയന്ത്രണ ചാനലിനും അതുതന്നെ ചെയ്യുന്നു. രണ്ടു സന്ദർഭങ്ങളിലും ഏതെങ്കിലും ഒരു പേലോഡ് ഉപയോക്താവിലേക്കുള്ള ഘട്ടം ഒരിക്കലും എത്തുന്നില്ല, അതിനാൽ മറുപടി നൽകാൻ ഒന്നുമില്ല, തിരികെ നൽകാൻ പിശകുമില്ല.
TCP ആയിരുന്നെങ്കിൽ അടച്ച പോർട്ടിൽ നിന്ന് നിങ്ങൾക്ക് റീസെറ്റ് ലഭിക്കുമായിരുന്നു. UDP നിങ്ങളെ അവ്യക്തതയിൽ വിടുന്നു, അത് സ്കാനറുകൾ ഊഹിക്കുന്നതിന് പകരം തുറന്നത് അല്ലെങ്കിൽ ഫിൽട്ടർ ചെയ്തത് എന്ന് അച്ചടിച്ച് പരിഹരിക്കുന്നു.
സ്കാനറിന് എന്ത് അനുമാനിക്കാം, എന്ത് അനുമാനിക്കാനാവില്ല
ഒരു സ്കാന്റെ ഫലം അത് അയച്ച പേലോഡിനോളം മാത്രമേ വിവരം നൽകുന്നുള്ളൂ. സാധ്യമായ നിരീക്ഷണങ്ങളെ ഓരോന്നും യഥാർത്ഥത്തിൽ എന്തിനെ പിന്തുണയ്ക്കുന്നു എന്നതിന് അനുസരിച്ച് ക്രമീകരിക്കുക:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
പട്ടികയിലെ ഏക പോസിറ്റീവ് പരിശോധനയായി മൂന്നാം വരി വായിക്കുക. അതിന് യഥാർത്ഥ പ്രൊഫൈൽ, യഥാർത്ഥ കീ, ശരിയായ എൻഡ്പോയിന്റ് എന്നിവ ആവശ്യമാണ്, സാധാരണ സ്കാനറിന് ഇല്ലാത്തത് അതുതന്നെയാണ്.
പാതയുടെ രണ്ടറ്റവും നോക്കുക
നിങ്ങൾ കൈകാര്യം ചെയ്യുന്ന സെർവറിന്, ഏതെങ്കിലും അനുമാനത്തിൽ എത്തുന്നതിന് മുൻപ് ഇന്റർഫേസിൽ പിടിച്ചെടുക്കുക, തുടർന്ന് സേവനം എന്താണ് കണ്ടതെന്ന് ചോദിക്കുക. രണ്ടു കമാൻഡുകൾക്കും ഗേറ്റ്വേയിൽ root ആവശ്യമാണ്:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showഇന്റർഫേസിൽ ഒരു പാക്കറ്റും കാണുന്നില്ലെങ്കിൽ, സേവനം എന്തെങ്കിലും കാണുന്നതിന് മുൻപേ പാത അത് ഉപേക്ഷിച്ചു, അടുത്ത ഇടം റൂട്ടിംഗും ഫിൽട്ടറിംഗുമാണ്. പാക്കറ്റുകൾ എത്തുന്നുണ്ടെങ്കിലും ഒരു ഹാൻഡ്ഷേക്കും പൂർത്തിയാകുന്നില്ലെങ്കിൽ, സേവനം എത്തിച്ചേരാവുന്നതാണ്, വ്യത്യാസം കീകളിലോ എൻഡ്പോയിന്റ് കോൺഫിഗറേഷനിലോ പ്രോട്ടോക്കോൾ പതിപ്പിലോ ആണ്. ആ താരതമ്യമാണ് സ്കാനറിന് നൽകാനാകാത്ത ചോദ്യത്തിന് ഉത്തരം നൽകുന്നത്. യഥാർത്ഥ ക്ലയന്റ് കണക്ട് ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ അത് പ്രവർത്തിപ്പിക്കുക, സ്കാനർ സ്വയം ആവർത്തിക്കുമ്പോൾ അല്ല.
പരിശോധന മാറ്റുക, സംരക്ഷണമല്ല
പ്രലോഭിപ്പിക്കുന്ന കുറുക്കുവഴി, ഡയഗ്നോസ്റ്റിക്സിന് മറുപടി ലഭിക്കാൻ നിയന്ത്രണ ചാനലിന്റെ സംരക്ഷണം ഓഫാക്കുക എന്നതാണ്. അത് യഥാർത്ഥ സുരക്ഷാ സ്വഭാവത്തെ മനോഹരമായ സ്കാൻ ഫലത്തിന് വേണ്ടി കൈമാറുന്നു, അത് തെറ്റായ ദിശയാണ്. പകരം അംഗീകൃത നെറ്റ്വർക്കിൽ നിന്നുള്ള സാധുവായ പ്രൊഫൈൽ ഉപയോഗിക്കുക, താരതമ്യം ആവർത്തിക്കാനാകുന്നതിന് എൻഡ്പോയിന്റും സമയവും രേഖപ്പെടുത്തുക.
ഏറ്റവും ഉപയോഗപ്രദമായ പരിശോധന വിഭേദാത്മകമാണ്: അതേ പ്രൊഫൈൽ പ്രവർത്തിക്കുന്ന പാതയിലും പ്രവർത്തിക്കാത്ത പാതയിലും. പ്രവർത്തിക്കുന്ന പാത ഒരു ഹാൻഡ്ഷേക്ക് ഉണ്ടാക്കുകയും പരാജയപ്പെടുന്ന പാത ഇന്റർഫേസിൽ ഒന്നും ഉണ്ടാക്കാതിരിക്കുകയും ചെയ്താൽ, ഒന്നും ദുർബലമാക്കാതെ തകർച്ചയുടെ സ്ഥാനം കണ്ടെത്തിയിരിക്കുന്നു.
അതിനാൽ മറുപടിയില്ലാത്ത UDP പാക്കറ്റ് സെർവർ ഓഫ്ലൈനാണെന്നോ അത് സുരക്ഷിതമാണെന്നോ തെളിയിക്കുന്നില്ല. ഈ പരിശോധന, ഈ പാതയിൽ, ഈ നിമിഷം, സ്വീകരിക്കപ്പെട്ടില്ല എന്ന് മാത്രം തെളിയിക്കുന്നു.