Skanimi UDP thotë i filtruar: a është peer-i yt WireGuard vërtet jashtë?

Skanerët printojnë i hapur ose i filtruar për një port UDP, dhe përfundimi zakonisht vjen brenda sekondash: tuneli është prishur. Mund të jetë, por skanimi nuk e vërtetoi atë. UDP nuk mbart asnjë dorështrëngim lidhjeje, dhe WireGuard nuk përgjigjet për asgjë që nuk mund të vërtetojë, kështu që heshtja është përgjigjja e pritur për shumicën e sondave.

Punoni në vend të kësaj nga klienti nga jashtë, dhe trajtojeni skanimin si një pikë e dobët e të dhënave mes disave.

Çfarë mund dhe nuk mund të shohë skaneri

Një skaner UDP dërgon një ngarkesë dhe pret. Nëse kthehet një ICMP port-unreachable, ai mund ta raportojë portin si të mbyllur. Nëse nuk kthehet asgjë, rezultati është i dykuptimtë nga ndërtimi: një rrugë e filtruar, një host që mungon dhe një shërbim që po ekzekutohet dhe e injoroi ngarkesën prodhojnë të gjithë të njëjtën heshtje. Tre gjendje të ndryshme, një varg i vetëm daljeje.

WireGuard e përkeqëson atë dykuptimësi me qëllim. Protokolli pranon një paketë vetëm kur ajo vërteton identitetin, kështu që një sondë me çelësat e gabuar hidhet pa përgjigje. Nuk ka asnjë banderolë, asnjë varg versioni dhe asnjë mesazh gabimi për të marrë gjurmë.

Një test TCP në të njëjtin numër porti nuk teston asgjë të lidhur. Ai ushtron një dëgjues tjetër që mund të mos ekzistojë, dhe refuzimi i tij nuk thotë asgjë për UDP.

Prandaj gjendjet e hapura të filtruara përshkruajnë pasigurinë e skanerit më saktë sesa përshkruajnë serverin tuaj.

Ecni klientin e vërtetë nga profili përbrenda

Filloni nga këndvështrimi i vetë klientit. A mban ndërfaqja një adresë, a emërton konfigurimi pikën e saktë fundore dhe a lëviz numëruesi i dorështrëngimit kur provohet një lidhje? Një klient që nuk dërgoi kurrë një paketë dhe një klient paketat e të cilit u hodhën duken identikë në një dritare statusi. Vetëm numëruesit i dallojnë, prandaj lexoni së pari numëruesit.

Më pas vëzhgoni anën e serverit ndërsa ndodh një provë e autorizuar, në vend që të ekzekutoni një skanim të veçantë nga një vend i tretë:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Komanda e parë raporton dorështrëngimin e fundit për çdo peer, që është dëshmi e drejtpërdrejtë se një shkëmbim i vërtetuar përfundoi. E dyta tregon nëse paketat për dëgjuesin mbërrijnë fare, gjë që e ndan një problem rruge nga një problem konfigurimi në një hap.

Nëse kapja nuk tregon asgjë, paketa nuk arriti kurrë te hosti dhe konfigurimi i tunelit nuk është i dyshuari. Nëse tregon paketa që vijnë nga adresa e pritur ndërsa dorështrëngimi mbetet në zero, çelësat ose adresat e lejuara të peer-it janë vendi tjetër për të shikuar.

Korreloni në server kur e administroni atë

Konfirmoni që dëgjuesi ekziston dhe që muri i zjarrit i ofruesit lejon portin UDP. Një rregull i murit të zjarrit të hostit dhe një grup sigurie i reve janë dy porta të pavarura, dhe secila prej tyre mund të hedhë një paketë që tjetra e lejoi. Kontrolloni të dyja kundrejt portit aktual në konfigurim, jo portit që mbani mend.

Adresa ka po aq rëndësi sa porti. Një server që dëgjon në një adresë të caktuar nuk do të përgjigjet për një paketë që mbërrin në një tjetër, dhe një host me shumë ndërfaqe mund ta marrë sondën në ndërfaqen që nuk e kishit fjalën.

Mbajini çdo test brenda sistemeve që jeni të autorizuar të testoni. Krahasimi i dobishëm është mes një prove reale të klientit dhe rrugës së pritur të serverit, jo një skanim më i gjerë adresash që i përkasin rastësisht të njëjtit ofrues.

Leximi i ndershëm i një rezultati skanimi

Një skanim është një mënyrë e lirë për të kontrolluar që një host ekziston dhe që një port nuk është dukshëm i bllokuar nga një pajisje ndërmjetëse. Nuk është provë arritshmërie për një protokoll të vërtetuar, dhe padyshim nuk është test konfigurimi.

Dëshmia më e fortë është një dorështrëngim i përfunduar nga klienti për të cilin ju interesoheni vërtet, i ndjekur nga një kërkesë që përdor tunelin dhe merr përgjigje. Ajo sekuencë ushtron çelësat, adresat e lejuara, të dy murret e zjarrit dhe rrugën e kthimit në një goditje.

Kur prova reale dështon, dështimi prapëseprapë duhet diagnostikuar me numëruesit e klientit dhe kapjen e serverit, jo me një sondë tjetër. Përshkrimi i protokollit shpjegon pse një paketë e pavërtetuar nuk merr përgjigje, dhe kjo është e gjithë arsyeja pse rezultati i skanimit është i dykuptimtë.