UDP స్కాన్ ఫిల్టర్ చేయబడింది అంటుంది: మీ WireGuard సహచరుడు నిజంగా పనిచేయడం లేదా?

స్కానర్లు UDP పోర్టు కోసం తెరిచినది లేదా ఫిల్టర్ చేయబడినది అని ముద్రిస్తాయి, మరియు తీర్మానం సాధారణంగా కొన్ని సెకన్లలో వస్తుంది: సొరంగం పగిలిపోయింది. అలా కావచ్చు, కానీ స్కాన్ దాన్ని నిరూపించలేదు. UDP ఎలాంటి కనెక్షన్ హ్యాండ్‌షేక్‌ను మోసుకెళ్లదు, మరియు WireGuard తాను ధృవీకరించలేని దేనికీ సమాధానం ఇవ్వదు, కాబట్టి చాలా పరీక్షలకు నిశ్శబ్దమే ఆశించిన సమాధానం.

బదులుగా క్లయింట్ నుండి బయటకు పని చేయండి, మరియు స్కాన్‌ను అనేక బలహీన డేటా పాయింట్లలో ఒకటిగా పరిగణించండి.

స్కానర్ ఏమి చూడగలదు, ఏమి చూడలేదు

UDP స్కానర్ ఒక పేలోడ్‌ను పంపి వేచి ఉంటుంది. ICMP port-unreachable తిరిగి వస్తే, అది పోర్టును మూసివేసినట్లు నివేదించగలదు. ఏమీ తిరిగి రాకపోతే, ఫలితం రూపకల్పన పరంగానే అస్పష్టంగా ఉంటుంది: ఫిల్టర్ చేయబడిన మార్గం, లేని హోస్ట్ మరియు పేలోడ్‌ను పట్టించుకోని నడుస్తున్న సేవ అన్నీ ఒకే నిశ్శబ్దాన్ని సృష్టిస్తాయి. మూడు వేర్వేరు స్థితులు, ఒకే అవుట్‌పుట్ స్ట్రింగ్.

WireGuard ఆ అస్పష్టతను ఉద్దేశపూర్వకంగా మరింత దారుణం చేస్తుంది. ప్రోటోకాల్ ఒక ప్యాకెట్‌ను అది తనను ధృవీకరించుకున్నప్పుడే అంగీకరిస్తుంది, కాబట్టి తప్పు కీలతో చేసిన పరీక్ష సమాధానం లేకుండా విసిరివేయబడుతుంది. బ్యానర్ లేదు, వెర్షన్ స్ట్రింగ్ లేదు, వేలిముద్ర కోసం లోప సందేశం లేదు.

అదే పోర్టు నంబర్‌పై TCP పరీక్ష సంబంధిత ఏదీ పరీక్షించదు. అది ఉండకపోవచ్చు అనే మరో శ్రోతను నడుపుతుంది, మరియు దాని నిరాకరణ UDP గురించి ఏమీ చెప్పదు.

అందువల్ల తెరిచిన ఫిల్టర్ స్థితులు మీ సర్వర్ కంటే స్కానర్ అనిశ్చితిని మరింత ఖచ్చితంగా వివరిస్తాయి.

నిజమైన క్లయింట్‌ను ప్రొఫైల్ నుండి లోపలికి నడవండి

క్లయింట్ సొంత దృష్టికోణంతో ప్రారంభించండి. ఇంటర్‌ఫేస్‌కు చిరునామా ఉందా, కాన్ఫిగరేషన్ సరైన ముగింపు బిందువును పేర్కొంటుందా, కనెక్షన్ ప్రయత్నించినప్పుడు హ్యాండ్‌షేక్ కౌంటర్ కదులుతుందా? ఎప్పుడూ ప్యాకెట్ పంపని క్లయింట్ మరియు ప్యాకెట్లు విసిరివేయబడిన క్లయింట్ స్థితి విండోలో ఒకేలా కనిపిస్తాయి. కౌంటర్లు మాత్రమే వాటిని వేరు చేస్తాయి, కాబట్టి ముందు కౌంటర్లను చదవండి.

తర్వాత మూడవ స్థలం నుండి ప్రత్యేక స్కాన్ నడపడానికి బదులుగా, ఒక అధీకృత ప్రయత్నం జరుగుతున్నప్పుడు సర్వర్ వైపు చూడండి:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

మొదటి ఆదేశం ప్రతి సహచరుడికి చివరి హ్యాండ్‌షేక్‌ను నివేదిస్తుంది, ఇది ధృవీకరించబడిన మార్పిడి పూర్తయినందుకు ప్రత్యక్ష సాక్ష్యం. రెండవది శ్రోతకు ప్యాకెట్లు అసలు వస్తున్నాయా అని చూపిస్తుంది, ఇది ఒకే అడుగులో మార్గ సమస్యను కాన్ఫిగరేషన్ సమస్య నుండి వేరు చేస్తుంది.

క్యాప్చర్ ఏమీ చూపకపోతే, ప్యాకెట్ ఎప్పుడూ హోస్ట్‌ను చేరుకోలేదు మరియు సొరంగ కాన్ఫిగరేషన్ అనుమానితం కాదు. అది ఆశించిన చిరునామా నుండి ప్యాకెట్లు వస్తున్నట్లు చూపి, హ్యాండ్‌షేక్ సున్నా వద్దే ఉంటే, తర్వాత చూడవలసినది కీలు లేదా సహచరుడి అనుమతించిన చిరునామాలు.

మీరు సర్వర్‌ను నిర్వహించినప్పుడు అక్కడే పరస్పర సంబంధం చేయండి

శ్రోత ఉందని మరియు ప్రొవైడర్ ఫైర్‌వాల్ UDP పోర్టును అనుమతిస్తుందని నిర్ధారించండి. హోస్ట్ ఫైర్‌వాల్ నియమం మరియు క్లౌడ్ భద్రతా సమూహం రెండు స్వతంత్ర ద్వారాలు, వాటిలో ఏదైనా మరొకటి అనుమతించిన ప్యాకెట్‌ను విసిరివేయగలదు. రెండింటినీ కాన్ఫిగరేషన్‌లోని వాస్తవ పోర్టుతో పరిశీలించండి, మీకు గుర్తున్న పోర్టుతో కాదు.

చిరునామా పోర్టు అంతే ముఖ్యం. నిర్దిష్ట చిరునామాపై వినే సర్వర్ మరొక చిరునామాపై వచ్చిన ప్యాకెట్‌కు సమాధానం ఇవ్వదు, మరియు అనేక ఇంటర్‌ఫేస్‌లు ఉన్న హోస్ట్ పరీక్షను మీరు ఉద్దేశించని ఇంటర్‌ఫేస్‌పై పొందవచ్చు.

ప్రతి పరీక్షను మీకు పరీక్షించే అధికారం ఉన్న వ్యవస్థల లోపలే ఉంచండి. ఉపయోగకరమైన పోలిక ఒక నిజమైన క్లయింట్ ప్రయత్నం మరియు ఆశించిన సర్వర్ మార్గం మధ్య ఉంటుంది, అదే ప్రొవైడర్‌కు యాదృచ్ఛికంగా చెందిన చిరునామాల విస్తృత శోధన కాదు.

స్కాన్ ఫలితాన్ని నిజాయితీగా చదవడం

స్కాన్ అనేది హోస్ట్ ఉందా మరియు పోర్టును మధ్యవర్తి పరికరం స్పష్టంగా నిరోధించలేదా అని తనిఖీ చేసే చవకైన మార్గం. ఇది ధృవీకరించబడిన ప్రోటోకాల్‌కు చేరుకోగలిగే సాక్ష్యం కాదు, మరియు ఖచ్చితంగా కాన్ఫిగరేషన్ పరీక్ష కాదు.

బలమైన సాక్ష్యం మీకు నిజంగా ముఖ్యమైన క్లయింట్ నుండి పూర్తయిన హ్యాండ్‌షేక్, ఆ తర్వాత సొరంగాన్ని ఉపయోగించి సమాధానం పొందే అభ్యర్థన. ఈ క్రమం ఒకేసారి కీలు, అనుమతించిన చిరునామాలు, రెండు ఫైర్‌వాల్‌లు మరియు తిరిగి వచ్చే మార్గాన్ని పరీక్షిస్తుంది.

నిజమైన ప్రయత్నం విఫలమయ్యే చోట, లోపాన్ని క్లయింట్ కౌంటర్లు మరియు సర్వర్ క్యాప్చర్‌తోనే నిర్ధారించాలి, మరో పరీక్షతో కాదు. ప్రోటోకాల్ వివరణ ధృవీకరించని ప్యాకెట్ ఎందుకు సమాధానం పొందదో వివరిస్తుంది, మరియు స్కాన్ ఫలితం అస్పష్టంగా ఉండటానికి మొత్తం కారణం అదే.