UDP VPN порт скан хийхэд дуугүй байна уу? Яагаад ийм болдог
WireGuard болон хатуужсан OpenVPN нь баталгаажуулалтад тэнцээгүй датаграммыг хариу өгөлгүй хаядаг. Сканераас харагдах дуугүй байдал нь хүлээгдэж буй зан төлөв бөгөөд хаалттай порт биш.
Та VPN портыг скан хийгээд хариу авахгүй бол үйлчилгээ унасан эсвэл галт хана хаалттай гэж дүгнэдэг. WireGuard болон өөрийн баталгаажуулалтыг агуулсан OpenVPN-ийн удирдлагын сувгуудын хувьд энэ дүгнэлт хүчинтэй биш. Хүчинтэй баталгаажуулалтын материалгүй датаграммыг хариу өгөлгүй хаядаг тул гаднаас эрүүл үйлчилгээ яг ийм дуугүй харагддаг. Туннель буруу болохоос өмнө шалгалт нь буруу.
Дуугүй байдал бол протокол, гэмтэл биш
UDP-д холболт тогтоох гэж байхгүй тул сканерт нээлттэй портыг шүүгдсэн портоос ялгах боломж олгох SYN ч, баталгаажуулалт ч байхгүй. Шалгалт нь тусдаа датаграмм хэлбэрээр ирж, үйлчилгээ түүнийг хүлээж буй протоколд нийцэж байгаа эсэхийг шалгана. Нийцэхгүй бол пакетыг хаяна, хаях нь гэмтэл биш, баримтжуулсан зан төлөв юм.
WireGuard нь handshake мессежээ криптографын аргаар баталгаажуулж, бүтэлгүйтсэн бүгдийг үл хэрэгсдэг. OpenVPN нь tls-auth эсвэл tls-crypt-тэйгээр удирдлагын сувагтаа мөн адил хийдэг. Хоёр тохиолдолд дур мэдэний ачаалал хэрэглэгчид хандах шатанд хэзээ ч хүрдэггүй тул хариу өгөх зүйл ч, буцаах алдаа ч байхгүй.
TCP байсан бол хаалттай портоос танд reset ирэх байсан. UDP таныг тодорхойгүй байдалд үлдээдэг бөгөөд сканерууд үүнийг таамаглахын оронд нээлттэй эсвэл шүүгдсэн гэж хэвлэж шийддэг.
Сканер юуг дүгнэж чадах, юуг чадахгүй вэ
Сканы үр дүн нь илгээсэн ачаалалтайгаа тэнцэх хэмжээгээр л мэдээлэлтэй байдаг. Боломжит ажиглалтуудыг тус бүр юуг үнэхээр баталж байгаагаар нь эрэмбэлээрэй:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Жагсаалтын цорын ганц эерэг шалгалт болгон гурав дахь мөрийг уншина уу. Түүнд жинхэнэ профайл, жинхэнэ түлхүүр, зөв төгсгөлийн цэг хэрэгтэй бөгөөд ердийн сканерт яг энэ байдаггүй.
Замын хоёр үзүүрийг хараарай
Өөрийн удирддаг серверийн хувьд ямар нэг дүгнэлт хийхээс өмнө интерфэйс дээр бичлэг хийгээд, дараа нь үйлчилгээнээс юу харсныг асуугаарай. Хоёр тушаалд гарц дээр root хэрэгтэй:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showХэрэв интерфэйс дээр ямар ч пакет харагдахгүй бол үйлчилгээ ямар нэг зүйл харахаас өмнө зам түүнийг хаясан бөгөөд дараагийн зогсолт нь маршрутлалт ба шүүлт юм. Хэрэв пакетууд ирж байгаа ч ганц ч handshake дуусахгүй бол үйлчилгээ хүрч болохоор байгаа бөгөөд зөрүү нь түлхүүр, төгсгөлийн цэгийн тохиргоо эсвэл протоколын хувилбарт байна. Тэр харьцуулалт нь сканер хариулж чадаагүй асуултад хариулдаг. Үүнийг жинхэнэ клиент холбогдохыг оролдож байх үед ажиллуул, сканер өөрийгөө давтаж байх үед биш.
Шалгалтыг өөрчил, хамгаалалтыг биш
Уруу татдаг богино зам бол оношилгоо хариу авахын тулд удирдлагын сувгийн хамгаалалтыг унтраах юм. Энэ нь жинхэнэ аюулгүй байдлын шинж чанарыг илүү гоё сканы үр дүнгээр солих бөгөөд энэ нь буруу чиглэл юм. Оронд нь зөвшөөрөгдсөн сүлжээнээс хүчинтэй профайл ашиглаж, харьцуулалт давтагдахуйц байхын тулд төгсгөлийн цэг болон цагийг тэмдэглээрэй.
Хамгийн ашигтай шалгалт бол ялгаатай шалгалт: ижил профайлыг ажилладаг зам дээр болон ажилладаггүй зам дээр. Ажилладаг зам handshake үүсгэж, бүтэлгүй зам интерфэйс дээр юу ч үүсгэхгүй бол та юуг ч сулруулалгүйгээр тасарсан газрыг олсон байна.
Тиймээс хариугүй UDP пакет нь сервер офлайн гэдгийг ч, аюулгүй гэдгийг ч батлахгүй. Энэ шалгалт, энэ зам дээр, энэ мөчид хүлээн авагдаагүй гэдгийг л батална.