UDP taraması filtrelendi diyor: WireGuard eşiniz gerçekten kapalı mı?

Tarayıcılar bir UDP bağlantı noktası için açık veya filtrelendi yazar ve sonuç genellikle saniyeler içinde gelir: tünel bozuktur. Olabilir, ama tarama bunu kanıtlamadı. UDP hiçbir bağlantı el sıkışması taşımaz ve WireGuard doğrulayamadığı hiçbir şeye yanıt vermez, bu yüzden sessizlik çoğu sonda için beklenen yanıttır.

Bunun yerine istemciden dışarı doğru çalışın ve taramayı birkaç zayıf veri noktasından biri olarak görün.

Tarayıcının görebildiği ve göremediği şeyler

Bir UDP tarayıcı bir yük gönderir ve bekler. ICMP port-unreachable geri gelirse bağlantı noktasını kapalı olarak bildirebilir. Hiçbir şey geri gelmezse sonuç tasarım gereği belirsizdir: filtrelenmiş bir yol, olmayan bir ana makine ve yükü yok sayan çalışan bir hizmet aynı sessizliği üretir. Üç farklı durum, tek bir çıktı dizesi.

WireGuard bu belirsizliği kasıtlı olarak daha da kötüleştirir. Protokol bir paketi yalnızca kimliğini doğruladığında kabul eder, bu yüzden yanlış anahtarlarla gelen sonda yanıtsız olarak atılır. Parmak izi alınacak bir banner, bir sürüm dizesi ya da hata mesajı yoktur.

Aynı bağlantı noktası numarası üzerinde TCP testi ilgili hiçbir şeyi test etmez. Var olmayabilecek başka bir dinleyiciyi çalıştırır ve reddetmesi UDP hakkında hiçbir şey söylemez.

Bu nedenle açık filtrelenmiş durumlar, sunucunuzu değil tarayıcının belirsizliğini daha doğru tanımlar.

Gerçek istemciyi profilden içeri doğru yürüyün

İstemcinin kendi görünümüyle başlayın. Arayüzde bir adres var mı, yapılandırma doğru uç noktayı adlandırıyor mu ve bağlantı denendiğinde el sıkışma sayacı hareket ediyor mu? Hiç paket göndermemiş bir istemci ile paketleri düşürülmüş bir istemci durum penceresinde aynı görünür. Onları yalnızca sayaçlar ayırt eder, bu yüzden önce sayaçları okuyun.

Sonra üçüncü bir konumdan ayrı bir tarama çalıştırmak yerine, tek bir yetkili deneme olurken sunucu tarafını izleyin:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

İlk komut eş başına son el sıkışmayı bildirir; bu, kimliği doğrulanmış bir alışverişin tamamlandığına dair doğrudan kanıttır. İkincisi, dinleyici için paketlerin hiç ulaşıp ulaşmadığını gösterir ve bir yol sorununu yapılandırma sorunundan tek adımda ayırır.

Yakalama hiçbir şey göstermiyorsa paket ana makineye hiç ulaşmamıştır ve tünel yapılandırması şüpheli değildir. Beklenen adresten gelen paketler görünüyor ama el sıkışma sıfırda kalıyorsa, sıradaki bakılacak yer anahtarlar veya eşin izin verilen adresleridir.

Yönettiğinizde sunucuda ilişkilendirin

Dinleyicinin var olduğunu ve sağlayıcının güvenlik duvarının UDP bağlantı noktasına izin verdiğini doğrulayın. Bir ana makine güvenlik duvarı kuralı ve bir bulut güvenlik grubu iki bağımsız kapıdır ve her biri diğerinin izin verdiği bir paketi düşürebilir. İkisini de hatırladığınız bağlantı noktasına değil, yapılandırmadaki gerçek bağlantı noktasına göre kontrol edin.

Adres, bağlantı noktası kadar önemlidir. Belirli bir adreste dinleyen bir sunucu başka bir adrese gelen pakete yanıt vermez ve çok arayüzlü bir ana makine sondajı amaçlamadığınız arayüzden alabilir.

Her testi test etmeye yetkili olduğunuz sistemlerin içinde tutun. Yararlı karşılaştırma, tek bir gerçek istemci denemesi ile beklenen sunucu yolu arasındadır; aynı sağlayıcıya ait olan adreslerin daha geniş bir taranması değil.

Bir tarama sonucunu dürüstçe okumak

Tarama, bir ana makinenin var olduğunu ve bir bağlantı noktasının bir ara cihaz tarafından açıkça engellenmediğini kontrol etmenin ucuz bir yoludur. Kimliği doğrulanmış bir protokol için erişilebilirlik kanıtı değildir ve kesinlikle bir yapılandırma testi değildir.

Daha güçlü kanıt, gerçekten önemsediğiniz istemciden tamamlanmış bir el sıkışma ve ardından tüneli kullanan ve yanıt alan bir istektir. Bu dizi anahtarları, izin verilen adresleri, her iki güvenlik duvarını ve dönüş yolunu tek seferde çalıştırır.

Gerçek deneme başarısız olduğunda, arıza yine de başka bir sonda ile değil, istemcinin sayaçları ve sunucunun yakalaması ile teşhis edilmelidir. Protokol açıklaması, kimliği doğrulanmamış bir paketin neden yanıt almadığını açıklar ve tarama sonucunun belirsiz olmasının tüm nedeni budur.