UDP VPN पोर्ट स्क्यानमा मौन? यो किन हुन्छ
WireGuard र कठोर OpenVPN प्रमाणीकरणमा असफल डेटाग्रामलाई जवाफ नदिई खारेज गर्छन्। स्क्यानरबाट आउने मौनता अपेक्षित व्यवहार हो, बन्द पोर्ट होइन।
तपाईं VPN पोर्ट स्क्यान गर्नुहुन्छ, कुनै जवाफ पाउनुहुन्न र सेवा बन्द छ वा फायरवाल बन्द छ भनी निष्कर्ष निकाल्नुहुन्छ। WireGuard मा र आफ्नै प्रमाणीकरण बोक्ने OpenVPN नियन्त्रण च्यानलहरूमा त्यो निष्कर्ष लागू हुँदैन। वैध प्रमाणीकरण सामग्रीविना डेटाग्राम जवाफविना खारेज गरिन्छ, त्यसैले बाहिरबाट स्वस्थ सेवा यसरी नै मौन देखिन्छ। सुरुङ गलत हुनुअघि नै जाँच नै गलत छ।
मौनता नै प्रोटोकल हो, खराबी होइन
UDP मा जडान स्थापना हुँदैन, त्यसैले स्क्यानरलाई खुला पोर्ट र फिल्टर गरिएको पोर्ट छुट्याउन दिने SYN पनि हुँदैन र कुनै स्वीकृति पनि हुँदैन। जाँच एक अलग डेटाग्रामका रूपमा आउँछ र सेवाले त्यो आफूले अपेक्षा गरेको प्रोटोकलसँग मिल्छ कि मिल्दैन जाँच्छ। नमिले प्याकेट खारेज गरिन्छ, र खारेज गर्नु दस्तावेजी व्यवहार हो, खराबी होइन।
WireGuard आफ्ना ह्यान्डशेक सन्देशहरूलाई क्रिप्टोग्राफिक रूपमा प्रमाणित गर्छ र असफल हुने सबैलाई बेवास्ता गर्छ। OpenVPN tls-auth वा tls-crypt सँग आफ्नो नियन्त्रण च्यानलका लागि पनि त्यही गर्छ। दुवै अवस्थामा कुनै पनि मनपरी पेलोड प्रयोगकर्तातर्फको चरणसम्म कहिल्यै पुग्दैन, त्यसैले जवाफ दिन केही छैन र फर्काउन त्रुटि पनि छैन।
TCP भएको भए बन्द पोर्टबाट तपाईंलाई रिसेट आउँथ्यो। UDP ले तपाईंलाई अनिश्चिततामा छोड्छ, जसलाई स्क्यानरहरू अनुमान गर्नुको सट्टा खुला वा फिल्टर गरिएको छापेर समाधान गर्छन्।
स्क्यानरले के निष्कर्ष निकाल्न सक्छ र के सक्दैन
स्क्यानको नतिजा त्यसले पठाएको पेलोडजत्तिकै मात्र जानकारीपूर्ण हुन्छ। सम्भावित अवलोकनहरूलाई प्रत्येकले वास्तवमा केलाई समर्थन गर्छ भन्ने अनुसार क्रममा राख्नुहोस्:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
सूचीको एकमात्र सकारात्मक परीक्षणका रूपमा तेस्रो पङ्क्ति पढ्नुहोस्। यसका लागि साँचो प्रोफाइल, साँचो कुञ्जी र सही एन्डप्वाइन्ट चाहिन्छ, र सामान्य स्क्यानरसँग ठ्याक्कै त्यही हुँदैन।
बाटोका दुवै छेउ हेर्नुहोस्
तपाईंले व्यवस्थापन गर्ने सर्भरका लागि कुनै निष्कर्ष निकाल्नुअघि इन्टरफेसमा क्याप्चर गर्नुहोस्, त्यसपछि सेवालाई उसले के देख्यो भनी सोध्नुहोस्। दुवै आदेशलाई गेटवेमा root चाहिन्छ:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showइन्टरफेसमा कुनै प्याकेट देखिएन भने सेवाले केही देख्नुअघि नै बाटोले त्यो खारेज गरेको हो, र अर्को रोकाइ राउटिङ र फिल्टरिङ हो। प्याकेट आउँछन् तर कुनै ह्यान्डशेक पूरा हुँदैन भने सेवा पुग्न सकिने छ र भिन्नता कुञ्जी, एन्डप्वाइन्ट कन्फिगरेसन वा प्रोटोकल संस्करणमा छ। त्यही तुलनाले स्क्यानरले दिन नसकेको प्रश्नको जवाफ दिन्छ। वास्तविक ग्राहक जडान गर्न खोज्दै गर्दा यो चलाउनुहोस्, स्क्यानर आफैलाई दोहोर्याइरहेको बेला होइन।
परीक्षण बदल्नुहोस्, सुरक्षा होइन
लोभ्याउने छोटो बाटो भनेको निदानले जवाफ पाउन नियन्त्रण च्यानलको सुरक्षा बन्द गर्नु हो। त्यसले वास्तविक सुरक्षा गुणलाई राम्रो देखिने स्क्यान नतिजासँग साट्छ, र त्यो गलत दिशा हो। यसको सट्टा स्वीकृत सञ्जालबाट वैध प्रोफाइल प्रयोग गर्नुहोस् र तुलना दोहोर्याउन सकिने होस् भनी एन्डप्वाइन्ट र समय टिप्नुहोस्।
सबैभन्दा उपयोगी परीक्षण विभेदक हो: एउटै प्रोफाइल काम गर्ने बाटोमा र नगर्ने बाटोमा। काम गर्ने बाटोले ह्यान्डशेक उत्पन्न गर्छ र असफल बाटोले इन्टरफेसमा केही पनि उत्पन्न गर्दैन भने, तपाईंले केही पनि कमजोर नबनाई टुट्ने स्थान पत्ता लगाउनुभयो।
त्यसैले जवाफ नआएको UDP प्याकेटले सर्भर अफलाइन छ भन्ने पनि प्रमाणित गर्दैन र त्यो सुरक्षित छ भन्ने पनि गर्दैन। यसले यो जाँच, यो बाटोमा, यो क्षणमा, स्वीकार गरिएन भन्ने मात्र प्रमाणित गर्छ।