UDP-skann seier filtrert: er WireGuard-motparten din faktisk nede?

Skannarar skriv ut open eller filtrert for ein UDP-port, og konklusjonen kjem vanlegvis innan sekund: tunnelen er øydelagd. Det kan han vere, men skanninga har ikkje påvist det. UDP ber ingen tilkoplingshandtrykk, og WireGuard svarar ikkje på noko det ikkje kan autentisere, så stille er det forventa svaret på dei fleste probar.

Arbeid i staden frå klienten og utover, og handsam skanninga som eitt svakt datapunkt blant fleire.

Kva skannaren kan og ikkje kan sjå

Ein UDP-skannar sender ei nyttelast og ventar. Kjem det ein ICMP port-unreachable tilbake, kan han melde porten som lukka. Kjem det ingenting tilbake, er resultatet tvitydig av design: ein filtrert rute, ein fråverande vert og ei køyrande teneste som ignorerte nyttelasta gir alle same stille. Tre ulike tilstandar, éin utdatastreng.

WireGuard gjer den tvitydigheita verre med vilje. Protokollen godtek berre ei pakke når ho autentiserer seg, så ein probe med feil nøklar blir kasta utan svar. Det finst ingen banner, ingen versjonsstreng og inga feilmelding å fingeravtrykkje.

Ein TCP-test på same portnummer testar ingenting i slekt. Han øvar ein annan lyttar som kanskje ikkje finst, og avvisinga seier ingenting om UDP.

Opne filtrerte tilstandar skildrar difor uvissa til skannaren meir presist enn dei skildrar serveren din.

Gå gjennom den ekte klienten frå profilen og innover

Byrja med synet til klienten sjølv. Har grensesnittet ei adresse, namngir konfigurasjonen rett endepunkt, og flyttar handtrykk-teljaren seg når ein tilkopling blir forsøkt? Ein klient som aldri sende ei pakke, og ein klient der pakkane vart droppa, ser identiske ut i eit statusvindauge. Berre teljarane skil dei, så les teljarane først.

Sjå deretter på serversida medan eitt autorisert forsøk skjer, i staden for å køyre ei separat skanning frå ein tredje stad:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Den første kommandoen rapporterer siste handtrykk per motpart, noko som er direkte prov på at ein autentisert utveksling vart fullført. Den andre viser om pakkar for lyttaren i det heile kjem fram, noko som skil eit ruteproblem frå eit konfigurasjonsproblem i eitt trinn.

Viser opptaket ingenting, nådde pakka aldri verten, og tunnelkonfigurasjonen er ikkje den mistenkte. Viser det pakkar som kjem frå den forventa adressa medan handtrykket blir ståande på null, er nøklane eller dei tillatne adressene til motparten neste stad å sjå.

Korreler på serveren når du administrerer han

Stadfest at lyttaren finst og at brannmuren til leverandøren tillèt UDP-porten. Ein vertsbrannmurregel og ei skysikkerheitsgruppe er to uavhengige portar, og kvar av dei kan droppe ei pakke som den andre tillét. Kontroller begge mot den faktiske porten i konfigurasjonen i staden for porten du hugser.

Adressa tyder like mykje som porten. Ein server som lyttar på ei bestemt adresse, svarar ikkje på ei pakke som kjem inn på ei anna, og ein vert med fleire grensesnitt kan ta imot proben på grensesnittet du ikkje meinte.

Hald kvar test innanfor system du har løyve til å teste. Den nyttige samanlikninga er mellom eitt ekte klientforsøk og den forventa serverruta, ikkje ein breiare gjennomgang av adresser som tilfeldigvis høyrer til same leverandør.

Å lese eit skannresultat ærleg

Ei skanning er ein billeg måte å kontrollere at ein vert finst og at ein port ikkje openbert blir blokkert av ein mellomliggande eining. Det er ikkje eit prov på nåbarheit for ein autentisert protokoll, og absolutt ikkje ein konfigurasjonstest.

Det sterkare provet er eit fullført handtrykk frå klienten du faktisk bryr deg om, etterfølgt av ei førespurnad som brukar tunnelen og får eit svar. Den sekvensen øvar nøklane, dei tillatne adressene, begge brannmurane og returvegen på ein gong.

Der det ekte forsøket mislukkast, må feilen likevel diagnostiserast med teljarane til klienten og opptaket til serveren i staden for med endå ein probe. Protokollskildringa forklarer kvifor ei uautentisert pakke ikkje får svar, og det er heile grunnen til at skannresultatet er tvitydig.