L-iskennjar UDP jgħid iffiltrat: il-peer WireGuard tiegħek tassew nieżel?

L-iskenners jistampaw miftuħ jew iffiltrat għal port UDP, u l-konklużjoni normalment tiġi fi ftit sekondi: il-mina hija miksura. Jista’ jkun, iżda l-iskennjar ma stabbiliex dan. UDP ma jġorr l-ebda handshake tal-konnessjoni, u WireGuard ma jwieġeb għal xejn li ma jistax jawtentika, għalhekk is-skiet huwa t-tweġiba mistennija għall-biċċa l-kbira tal-provi.

Aħdem mill-klijent ’il barra minflok, u qis l-iskennjar bħala punt wieħed dgħajjef tad-data fost diversi.

X’jista’ jara l-iskanner u x’ma jistax

Skanner UDP jibgħat tagħbija u jistenna. Jekk terġa’ lura ICMP port-unreachable, jista’ jirrapporta l-port bħala magħluq. Jekk ma terġax lura xejn, ir-riżultat huwa ambigwu bid-disinn: mogħdija iffiltrata, host assenti u servizz li qed jaħdem li injora t-tagħbija kollha jipproduċu l-istess skiet. Tliet stati differenti, string wieħed tal-output.

WireGuard jagħmel dak l-ambigwità agħar apposta. Il-protokoll jaċċetta pakkett biss meta jawtentika, għalhekk prova b’ċwievet ħżiena tintrema mingħajr tweġiba. M’hemmx banner, l-ebda string tal-verżjoni u l-ebda messaġġ ta’ żball biex jiġi fingerprintjat.

Test TCP fuq l-istess numru tal-port ma jittestja xejn relatat. Dan jeżerċita listener ieħor li jista’ ma jeżistix, u r-rifjut tiegħu ma jgħid xejn dwar UDP.

Għalhekk stati miftuħa iffiltrati jiddeskrivu l-inċertezza tal-iskanner b’aktar preċiżjoni milli jiddeskrivu s-server tiegħek.

Imxi l-klijent veru mill-profil ’il ġewwa

Ibda mid-dehra tal-klijent innifsu. L-interface għandha indirizz, il-konfigurazzjoni ssemmi l-endpoint it-tajjeb, u l-counter tal-handshake jiċċaqlaq meta jiġi ppruvat konnessjoni? Klijent li qatt ma bagħat pakkett u klijent li l-pakketti tiegħu nremew jidhru identiċi f’tieqa tal-istat. Huma biss il-counters li jiddistingwuhom, għalhekk aqra l-counters l-ewwel.

Imbagħad osserva n-naħa tas-server waqt li sseħħ prova awtorizzata waħda, minflok ma tmexxi skennjar separat minn tielet post:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

L-ewwel kmand jirrapporta l-aħħar handshake għal kull peer, li huwa evidenza diretta li skambju awtentikat tlestiet. It-tieni juri jekk il-pakketti għal-listener jaslux xejn, li jifred problema tal-mogħdija minn problema tal-konfigurazzjoni f’pass wieħed.

Jekk il-qabda ma turi xejn, il-pakkett qatt ma wasal għand il-host u l-konfigurazzjoni tal-mina mhix is-suspettat. Jekk turi pakketti ġejjin mill-indirizz mistenni waqt li l-handshake jibqa’ f’żero, iċ-ċwievet jew l-indirizzi permessi tal-peer huma l-post li jmiss biex tħares.

Korrela fis-server meta tamministrah

Ikkonferma li l-listener jeżisti u li l-firewall tal-fornitur jippermetti l-port UDP. Regola tal-firewall tal-host u grupp tas-sigurtà tal-cloud huma żewġ bibien indipendenti, u kull wieħed minnhom jista’ jwaddab pakkett li l-ieħor ippermetta. Iċċekkja t-tnejn kontra l-port reali fil-konfigurazzjoni u mhux kontra l-port li tiftakar.

L-indirizz huwa importanti daqs il-port. Server li jisma’ fuq indirizz speċifiku mhux se jwieġeb għal pakkett li jasal fuq ieħor, u host b’ħafna interfaces jista’ jirċievi l-prova fuq l-interface li ma ridtx.

Żomm kull test ġewwa sistemi li inti awtorizzat li ttestja. Il-paragun utli huwa bejn prova waħda tal-klijent veru u l-mogħdija mistennija tas-server, mhux skanjar usa’ ta’ indirizzi li jappartjenu b’kumbinazzjoni lill-istess fornitur.

Taqra riżultat tal-iskennjar b’onestà

L-iskennjar huwa mod irħis biex tivverifika li host jeżisti u li port mhux ovvjament imblukkat minn apparat intermedju. Mhuwiex prova ta’ aċċessibilità għal protokoll awtentikat, u żgur mhuwiex test tal-konfigurazzjoni.

L-evidenza l-aktar soda hija handshake komplut mill-klijent li tassew jimpurtak minnu, segwit minn talba li tuża l-mina u tikseb tweġiba. Dak is-sekwenza jeżerċita ċ-ċwievet, l-indirizzi permessi, iż-żewġ firewalls u l-mogħdija tal-ritorn f’daqqa waħda.

Fejn il-prova vera tfalli, il-falliment xorta jrid jiġi dijanjostikat bil-counters tal-klijent u bil-qabda tas-server minflok b’prova oħra. Id-deskrizzjoni tal-protokoll tispjega għaliex pakkett mhux awtentikat ma jirċevix tweġiba, u din hija r-raġuni kollha għaliex ir-riżultat tal-iskennjar huwa ambigwu.