VPN UDP siekta waqt skan tal-port? Għaliex jiġri dan
WireGuard u OpenVPN imsaħħaħ jarmu datagrammi li ma jgħaddux mill-awtentikazzjoni mingħajr ma jwieġbu. Is-skiet minn skanner huwa mġiba mistennija, mhux port magħluq.
Tiskanja l-port tal-VPN, ma tirċevix tweġiba u tikkonkludi li s-servizz waqa' jew li l-firewall huwa magħluq. Ma' WireGuard, u mal-kanali tal-kontroll ta' OpenVPN li jġorru l-awtentikazzjoni tagħhom stess, dik il-konklużjoni ma ssegwix. Datagramma mingħajr materjal tal-awtentikazzjoni validu tintrema mingħajr tweġiba, għalhekk is-skiet huwa kif jidher servizz b'saħħtu minn barra. Il-prova hija ħażina qabel ma jkun il-mina.
Is-skiet huwa l-protokoll, mhux ħsara
UDP m'għandux stabbiliment ta' konnessjoni, għalhekk m'hemmx SYN u lanqas rikonoxximent li jippermetti lil skanner jiddistingwi port miftuħ minn port iffiltrat. Il-prova tasal bħala datagramma iżolata, u s-servizz jiċċekkja jekk taqbilx mal-protokoll li jistenna. Meta ma taqbilx, il-pakkett jintrema, u t-tarmir huwa l-imġiba dokumentata, mhux ħsara.
WireGuard jivvalida l-messaġġi tal-handshake tiegħu b'mod kriptografiku u jinjora kull ma jfalli. OpenVPN b'tls-auth jew tls-crypt jagħmel l-istess għall-kanal tal-kontroll tiegħu. Fiż-żewġ każi tagħbija arbitrarja qatt ma tasal għal stadju li jħares lejn l-utent, għalhekk m'hemmx x'wieġeb u m'hemmx żball x'terġa' lura.
TCP kien jagħtik reset minn port magħluq. UDP iħallik fl-ambigwità, li l-iskaners isolvu billi jipprintjaw miftuħ jew iffiltrat minflok jaqtgħu bl-addoċċ.
X'jista' u x'ma jistax jikkonkludi skanner
Ir-riżultat ta' skan huwa informattiv biss daqs it-tagħbija li bagħat. Issortja l-osservazzjonijiet possibbli skont dak li kull wieħed minnhom tassew isostni:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Aqra t-tielet ringiela bħala l-unika test pożittiv fil-lista. Jeħtieġ il-profil veru, iċ-ċavetta vera u l-punt tat-tmiem t-tajjeb, u dan huwa eżattament dak li skanner ġeneriku m'għandux.
Ħares lejn iż-żewġt itruf tal-passaġġ
Għal server li tamministra, aqbad fuq l-interface qabel ma tasal għal xi konklużjoni, imbagħad staqsi lis-servizz x'ra. Iż-żewġ kmandi jeħtieġu root fuq il-gateway:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showJekk ma jidher ebda pakkett fuq l-interface, il-passaġġ remieh qabel ma s-servizz ra xi ħaġa, u l-waqfa li jmiss hija r-rotta u l-iffiltrar. Jekk il-pakketti jaslu imma ebda handshake ma jitlesta, is-servizz huwa aċċessibbli u d-differenza tinsab fiċ-ċwievet, fil-konfigurazzjoni tal-punt tat-tmiem jew fil-verżjoni tal-protokoll. Dak it-tqabbil iwieġeb il-mistoqsija li l-iskanner ma setax iwieġeb. Mexxih waqt li klijent veru qed jipprova jgħaqqad, mhux waqt li l-iskanner qed jirrepeti lilu nnifsu.
Ibdel it-test, mhux il-protezzjoni
Il-qasira li tħajjar hija li tiddiżattiva l-protezzjoni tal-kanal tal-kontroll sabiex dijanjostiku jirċievi tweġiba. Dan ibiddel proprjetà tas-sigurtà vera ma' riżultat ta' skan isbaħ, u hija d-direzzjoni żbaljata. Minflok uża profil validu minn netwerk approvat, u nnota l-punt tat-tmiem u l-ħin sabiex it-tqabbil ikun jista' jiġi ripetut.
L-iktar test utli huwa differenzjali: l-istess profil fuq passaġġ li jaħdem u fuq il-passaġġ li ma jaħdimx. Jekk il-passaġġ li jaħdem jipproduċi handshake u l-passaġġ li jfalli ma jipproduċi xejn fuq l-interface, tkun lokalizzajt il-qasma mingħajr ma ddgħajjef xejn.
Għalhekk pakkett UDP bla tweġiba ma jippruvax la li s-server huwa offline u lanqas li huwa sigur. Jipprova biss li din il-prova, fuq dan il-passaġġ, f'dan il-mument, ma ġietx aċċettata.