د UDP سکن وایي فلټر شوی: ایا ستاسو WireGuard ملګری واقعی بند دی؟

سکنرونه د UDP پورټ لپاره خلاص یا فلټر شوی چاپوي، او پایله معمولاً په څو ثانیو کې راځي: تونل مات شوی۔ کیدای شي همداسې وي، خو سکن دا ثابته نه کړه۔ UDP هیڅ د اړیکې لاس نیول نه لېږدوي، او WireGuard هغه څه ته ځواب نه ورکوي چې نشي یې تصدیق کولی، نو غلېزه د ډېرو ازموینو لپاره تمه شوی ځواب دی۔

پرځای یې له کړکۍ څخه بهر کار وکړئ، او سکن د څو کمزورو معلوماتي نقطو له جملې څخه یوه وګڼئ۔

سکنر څه لیدلی شي او څه نه شي لیدلی

UDP سکنر یو بار لېږي او انتظار کوي۔ که ICMP port-unreachable بیرته راشي، کولای شي پورټ د بند په توګه راپور کړي۔ که هیڅ بیرته نه راځي، پایله د جوړښت له مخې مبهمه ده: فلټر شوې لار، نه شته کوربه او روانه خدمت چې بار یې له پامه غورځولی، ټول هماغه غلېزه جوړوي۔ درې بېلابېلې حالاتې، یو د وتلو تار۔

WireGuard دا ابهام په قصد سره خرابوي۔ پروتوکول یو پاکټ یوازې هغه وخت مني چې ځان تصدیق کړي، نو د ناسم کلید سره ازموینه بې ځوابه غورځول کیږي۔ نه بینر، نه د نسخې تار او نه د تېروتنې پیغام د ګوتې نښې لپاره شته۔

په هماغه پورټ نمبر باندې TCP ازموینه هیڅ اړونده شی نه ازموي۔ دا بل اوریدونکی چلوي چې کیدای شي نه وي، او ردول یې د UDP په اړه هیڅ نه وایي۔

نو خلاص فلټر شوي حالاتې د سکنر ناڅرګندتیا په نسبت ستاسو سرور ته په ډېر دقت بیانوي۔

ریښتینی کړکۍ له پروفایل څخه دننه وخوځوئ

د کړکۍ د خپل لید څخه پیل وکړئ۔ ایا انټرفیس پته لري، ایا ترتیبات سم پای ټکی نوموي، او ایا د لاس نیولو شمیرونکی حرکت کوي کله چې اړیکه ازمویل کیږي؟ هغه کړکۍ چې هیڅکله پاکټ نه دی لېږلی او هغه کړکۍ چې پاکټونه یې غورځول شوي، په حالت کړکۍ کې ورته ښکاري۔ یوازې شمیرونکي یې جلا کوي، نو لومړی شمیرونکي ولولئ۔

بیا د سرور خوا وګورئ کله چې یوه اجازه شوې هڅه روانه وي، د دې پرځای چې له دریم ځای څخه جلا سکن چل کړئ:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

لومړی حکم د هر ملګري لپاره وروستی لاس نیول راپور کوي، چې دا مستقیم ثبوت دی چې تصدیق شوې تبادله بشپړه شوه۔ دوهم ښیي چې د اوریدونکي لپاره پاکټونه اساساً رارسي، او دا په یوه ګام کې د لارې ستونزه د ترتیباتو ستونزې څخه بیلوي۔

که ثبت هیڅ ونه ښیي، پاکټ هیڅکله کوربه ته نه دی رسیدلی او د تونل ترتیبات مشکوک نه دي۔ که دا د تمه شوې پتې څخه راتلونکي پاکټونه وښیي پداسې حال کې چې لاس نیول په صفر پاتې وي، کلیدونه یا د ملګري اجازه شوې پتې بل ځای دی چې باید وګورل شي۔

کله چې سرور مدیریت کوئ، هلته اړیکه ټینګه کړئ

تصدیق کړئ چې اوریدونکی شته او چې د عرضه کوونکي فایر وال د UDP پورټ اجازه ورکوي۔ د کوربه فایر وال قاعده او د ورېځ امنیتي ګروپ دوه خپلواکې دروازې دي، او هر یو یې کولای شي هغه پاکټ وغورځوي چې بل اجازه ورکړې وه۔ دواړه د ترتیباتو په اصلي پورټ باندې وازموئ، نه په هغه پورټ چې په یاد دي۔

پته د پورټ په اندازه مهمه ده۔ سرور چې په ځانګړې پته اوریدل کوي، هغه پاکټ ته ځواب نه ورکوي چې په بله پته رارسي، او څو انټرفیسونو لرونکی کوربه کولای شي ازموینه په هغه انټرفیس ترلاسه کړي چې ستاسو مقصد نه و۔

هره ازموینه د هغو نظامونو دننه وساتئ چې د ازموینې اجازه یې لرئ۔ ګټوره پرتله د یوې اصلي کړکۍ هڅې او د سرور د تمه شوې لارې ترمنځ ده، نه د هغو پتو پراخه کتنه چې په ناڅاپي ډول هماغه عرضه کوونکي پورې اړه لري۔

د سکن پایله په رښتیني توګه لوستل

سکن یوه ارزانه لاره ده چې وګورئ کوربه شته او پورټ د یوې منځګړې وسیلې له خوا په ښکاره توګه نه دی بند شوی۔ دا د تصدیق شوي پروتوکول لپاره د رسیدو ثبوت نه دی، او یقیناً د ترتیباتو ازموینه نه ده۔

پیاوړی ثبوت هغه بشپړ شوی لاس نیول دی چې ستاسو د رښتیا خوښ کړکۍ څخه راځي، او بیا هغه غوښتنه چې تونل کاروي او ځواب ترلاسه کوي۔ دا ترتیب په یو ځل کلیدونه، اجازه شوې پتې، دواړه فایر والونه او د بیرته راستنیدو لار ازموي۔

هلته چې اصلي هڅه ناکامه شي، نیمګړتیا باید د کړکۍ شمیرونکو او د سرور ثبت سره تشخیص شي، نه د بله ازموینې سره۔ د پروتوکول تفصیل تشریح کوي چې ولې تصدیق نه شوی پاکټ ځواب نه ترلاسه کوي، او د سکن پایلې د ابهام بشپړ دلیل همدا دی۔