UDP скан «шүүгдсэн» гэж байна: таны WireGuard хамтрагч үнэхээр унтарсан уу?

Сканерууд UDP портын хувьд нээлттэй эсвэл шүүгдсэн гэж хэвлэдэг бөгөөд дүгнэлт ихэвчлэн хэдхэн секундын дотор ирдэг: туннель эвдэрсэн. Ийм байж болох ч скан үүнийг батлаагүй. UDP ямар ч холболтын гар барилт зөөдөггүй, WireGuard өөрөө баталгаажуулж чадахгүй зүйлд хариулдаггүй тул олон шалгалтад чимээгүй байх нь хүлээгдэж буй хариулт юм.

Үүний оронд клиентээс гадагш ажиллаж, сканыг хэд хэдэн сул өгөгдлийн цэгийн нэг гэж үзээрэй.

Сканер юу харж чадах, юу чадахгүй

UDP сканер ачааг илгээж, хүлээдэг. Хэрэв ICMP port-unreachable буцаж ирвэл портыг хаалттай гэж мэдээлж болно. Хэрэв юу ч буцаж ирэхгүй бол үр дүн нь бүтцийн хувьд хоёрдмол утгатай: шүүгдсэн зам, байхгүй хост, ачааг үл тоомсорлосон ажиллаж буй үйлчилгээ бүгд ижил чимээгүй байдал үүсгэдэг. Гурван өөр төлөв, нэг гаралтын мөр.

WireGuard энэ хоёрдмол байдлыг зориуд улам дордуулдаг. Протокол пакетыг зөвхөн өөрөө баталгаажсан үед хүлээн авдаг тул буруу түлхүүртэй шалгалт хариулгүй хаягдана. Хурууны хээ авах баннер, хувилбарын мөр, алдааны мэдээлэл байхгүй.

Ижил портын дугаар дээрх TCP шалгалт холбоотой юуг ч шалгахгүй. Энэ нь байхгүй байж болох өөр сонсогчийг ажиллуулдаг бөгөөд түүний татгалзал UDP-ийн талаар юу ч хэлэхгүй.

Тиймээс нээлттэй шүүгдсэн төлөвүүд таны серверийг бус сканерын тодорхойгүй байдлыг илүү нарийвчлан дүрсэлдэг.

Жинхэнэ клиентийг профайлаас дотогш алхаж үзээрэй

Клиентийн өөрийн харагдацаас эхэл. Интерфэйс адрестай юу, тохиргоо зөв төгсгөлийн цэгийг нэрлэж байна уу, холболт үүсгэх оролдлого хийх үед гар барилтын тоолуур хөдөлж байна уу? Хэзээ ч пакет илгээгээгүй клиент болон пакет нь хаягдсан клиент төлөвийн цонхонд ижил харагдана. Зөвхөн тоолуурууд тэднийг ялгадаг тул эхлээд тоолууруудыг уншаарай.

Дараа нь гуравдагч газраас тусдаа скан ажиллуулахын оронд нэг зөвшөөрөгдсөн оролдлого явагдах үед серверийн талыг ажиглаарай:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Эхний команд хамтрагч бүрийн сүүлийн гар барилтыг мэдээлдэг бөгөөд энэ нь баталгаажсан солилцоо дууссан шууд нотолгоо юм. Хоёр дахь нь сонсогчид зориулсан пакетууд огт ирж байгаа эсэхийг харуулдаг бөгөөд энэ нь замын асуудлыг тохиргооны асуудлаас нэг алхамаар ялгадаг.

Хэрэв бичлэг юу ч харуулахгүй бол пакет хостод хэзээ ч хүрээгүй бөгөөд туннелийн тохиргоо сэжигтэй биш юм. Хэрэв хүлээгдэж буй адресаас пакетууд ирж байгааг харуулж, гар барилт тэг дээр үлдвэл дараагийн харах газар нь түлхүүрүүд эсвэл хамтрагчийн зөвшөөрөгдсөн адресууд юм.

Серверийг удирдаж байхдаа тэнд корреляци хий

Сонсогч байгаа эсэх, үйлчилгээ үзүүлэгчийн галт хана UDP портыг зөвшөөрч байгаа эсэхийг батал. Хостын галт хананы дүрэм ба үүлний аюулгүй байдлын бүлэг нь хоёр бие даасан хаалга бөгөөд аль нь ч нөгөөгийн зөвшөөрсөн пакетыг хаяж чадна. Хоёуланг тохиргооны бодит порттой харьцуулж шалга, санаж байгаа порттой биш.

Адрес нь порт шиг л чухал. Тодорхой адрес дээр сонсож буй сервер өөр адрес дээр ирсэн пакетэд хариулахгүй, олон интерфэйстэй хост шалгалтыг таны санаанд ороогүй интерфэйсээр хүлээн авч болно.

Шалгалт бүрийг шалгах эрхтэй системүүдийн дотор байлга. Ашигтай харьцуулалт нь нэг бодит клиентийн оролдлого ба хүлээгдэж буй серверийн зам хоёрын хооронд байна, ижил үйлчилгээ үзүүлэгчид санамсаргүй хамаарах адресуудыг илүү өргөн хайх биш.

Сканы үр дүнг шударгаар унших

Скан бол хост байгаа эсэх, портыг завсрын төхөөрөмж тодорхой хааагүй эсэхийг шалгах хямд арга юм. Энэ нь баталгаажсан протоколын хүртээмжийн нотолгоо биш бөгөөд тохиргооны шалгалт ч мэдээж биш.

Илүү хүчтэй нотолгоо бол таны үнэхээр санаа тавьдаг клиентээс дууссан гар барилт, дараа нь туннелийг ашиглаж хариу авдаг хүсэлт юм. Энэ дараалал түлхүүрүүд, зөвшөөрөгдсөн адресууд, хоёр галт хана болон буцах замыг нэг дор шалгадаг.

Бодит оролдлого бүтэлгүйтсэн газарт алдааг өөр шалгалтаар биш, клиентийн тоолуур ба серверийн бичлэгээр оношлох ёстой. Протоколын тайлбар баталгаажаагүй пакет яагаад хариу авдаггүйг тайлбарладаг бөгөөд сканы үр дүн хоёрдмол утгатай байх бүх шалтгаан нь энэ юм.