VPN ya UDP inanyamaza kwenye uchunguzi wa lango? Kwa nini hilo hutokea
WireGuard na OpenVPN iliyoimarishwa hutupa datagramu zinazoshindwa uthibitishaji bila kujibu. Ukimya kutoka kwa kichunguzi ni tabia inayotarajiwa, si lango lililofungwa.
Unachunguza lango la VPN, hupati jibu na unahitimisha kuwa huduma imesimama au kwamba ngome ya moto imefungwa. Kwa WireGuard, na kwa njia za udhibiti za OpenVPN zinazobeba uthibitishaji wake zenyewe, hitimisho hilo halifuati. Datagramu isiyo na nyenzo halali za uthibitishaji hutupwa bila jibu, kwa hivyo ukimya ndio jinsi huduma nzuri inavyoonekana kutoka nje. Uchunguzi ni mbaya kabla handaki halijawa mbaya.
Ukimya ni itifaki, si hitilafu
UDP haina uanzishaji wa muunganisho, kwa hivyo hakuna SYN na hakuna uthibitisho ambao ungemruhusu kichunguzi kutofautisha lango lililo wazi na lililochujwa. Uchunguzi huja kama datagramu pekee, na huduma hukagua ikiwa inalingana na itifaki inayotarajia. Isipolingana, pakiti hutupwa, na kutupa ni tabia iliyoandikwa, si hitilafu.
WireGuard huthibitisha jumbe zake za handshake kwa njia ya kriptografia na hupuuza kila kitu kinachoshindwa. OpenVPN na tls-auth au tls-crypt hufanya vivyo hivyo kwa njia yake ya udhibiti. Katika hali zote mbili mzigo wowote holela haufiki kamwe hatua inayoelekea mtumiaji, kwa hivyo hakuna la kujibu na hakuna hitilafu ya kurudisha.
TCP ingekupa reset kutoka lango lililofungwa. UDP hukuacha katika utata, ambao wachunguzi huutatua kwa kuchapisha wazi au lililochujwa badala ya kukisia.
Kichunguzi kinaweza na hakiwezi kuhitimisha nini
Matokeo ya uchunguzi yana taarifa kwa kiasi cha mzigo uliotumwa. Panga uchunguzi unaowezekana kulingana na kile kila mmoja unachounga mkono kwa kweli:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Soma mstari wa tatu kama jaribio pekee chanya katika orodha. Unahitaji wasifu halisi, ufunguo halisi na ncha sahihi ya mwisho, na ndivyo kichunguzi cha jumla hakina.
Tazama ncha zote mbili za njia
Kwa seva unayoisimamia, nasa kwenye kiolesura kabla ya kufikia hitimisho lolote, kisha uliza huduma iliona nini. Amri zote mbili zinahitaji root kwenye lango:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showIkiwa hakuna pakiti inayotokea kwenye kiolesura, njia iliitupa kabla huduma kuona chochote, na kituo kinachofuata ni uelekezaji na uchujaji. Ikiwa pakiti zinafika lakini hakuna handshake inayokamilika, huduma inafikika na tofauti iko kwenye funguo, usanidi wa ncha ya mwisho au toleo la itifaki. Ulinganisho huo hujibu swali ambalo kichunguzi hakikuweza. Iendeshe wakati mteja halisi anajaribu kuunganisha, si wakati kichunguzi kinajirudia.
Badilisha jaribio, si ulinzi
Njia ya mkato inayovutia ni kuzima ulinzi wa njia ya udhibiti ili uchunguzi wa ugonjwa upate jibu. Hiyo hubadilisha sifa halisi ya usalama kwa matokeo mazuri ya uchunguzi, na ni mwelekeo mbaya. Badala yake tumia wasifu halali kutoka mtandao ulioidhinishwa, na andika ncha ya mwisho na muda ili ulinganisho uweze kurudiwa.
Jaribio lenye manufaa zaidi ni la tofauti: wasifu uleule kwenye njia inayofanya kazi na kwenye njia isiyofanya kazi. Ikiwa njia inayofanya kazi inazalisha handshake na njia inayoshindwa haizalishi chochote kwenye kiolesura, umegundua mahali pa kukatika bila kudhoofisha chochote.
Kwa hivyo pakiti ya UDP isiyojibiwa haithibitishi kwamba seva iko nje ya mtandao wala kwamba ni salama. Inathibitisha kwamba uchunguzi huu, kwenye njia hii, wakati huu, haukukubaliwa.