UDP VPN port taramasında sessiz mi? Bu neden olur
WireGuard ve sertleştirilmiş OpenVPN, kimlik doğrulamayı geçemeyen datagramları yanıt vermeden atar. Bir tarayıcıdan gelen sessizlik beklenen davranıştır, kapalı port değildir.
VPN portunu tararsınız, yanıt alamazsınız ve hizmetin kapalı olduğu ya da güvenlik duvarının kapalı olduğu sonucuna varırsınız. WireGuard'da ve kendi kimlik doğrulamasını taşıyan OpenVPN denetim kanallarında bu sonuç geçerli değildir. Geçerli kimlik doğrulama malzemesi olmayan datagram yanıt verilmeden atılır, dolayısıyla sessizlik sağlıklı bir hizmetin dışarıdan görünüşüdür. Tünel yanlış olmadan önce sonda yanlış.
Sessizlik protokolün kendisidir, arıza değil
UDP'de bağlantı kurulumu yoktur, bu yüzden bir tarayıcının açık portu filtrelenmiş porttan ayırmasını sağlayacak SYN de yoktur, onay da yoktur. Sonda yalıtılmış bir datagram olarak gelir ve hizmet bunun beklediği protokolle eşleşip eşleşmediğini denetler. Eşleşmezse paket atılır ve atma, arıza değil belgelenmiş davranıştır.
WireGuard el sıkışma iletilerini kriptografik olarak doğrular ve başarısız olan her şeyi yok sayar. OpenVPN tls-auth veya tls-crypt ile denetim kanalı için aynısını yapar. Her iki durumda da rastgele bir yük hiçbir zaman kullanıcıya dönük bir aşamaya ulaşmaz, bu yüzden yanıtlanacak bir şey ve döndürülecek bir hata yoktur.
TCP olsaydı kapalı bir porttan size reset gelirdi. UDP sizi belirsizlikle baş başa bırakır; tarayıcılar bunu tahmin etmek yerine açık veya filtrelenmiş yazarak çözer.
Bir tarayıcının çıkarabileceği ve çıkaramayacağı sonuçlar
Bir tarama sonucu, gönderdiği yük kadar bilgilendiricidir. Olası gözlemleri her birinin gerçekte neyi desteklediğine göre sıralayın:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Üçüncü satırı listedeki tek olumlu test olarak okuyun. Gerçek profili, gerçek anahtarı ve doğru uç noktayı gerektirir ve genel bir tarayıcıda tam olarak bunlar yoktur.
Yolun iki ucuna bakın
Yönettiğiniz bir sunucu için herhangi bir sonuca varmadan önce arayüzde yakalama yapın, ardından hizmete ne gördüğünü sorun. Her iki komut da ağ geçidinde root gerektirir:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showArayüzde hiç paket görünmüyorsa, yol onu hizmet herhangi bir şey görmeden önce atmıştır ve sonraki durak yönlendirme ve filtrelemedir. Paketler geliyor ama hiçbir el sıkışma tamamlanmıyorsa, hizmet erişilebilirdir ve uyuşmazlık anahtarlarda, uç nokta yapılandırmasında veya protokol sürümündedir. Bu karşılaştırma, tarayıcının yanıtlayamadığı soruyu yanıtlar. Onu gerçek bir istemci bağlanmaya çalışırken çalıştırın, tarayıcı kendini tekrarlarken değil.
Testi değiştirin, korumayı değil
Cazip kısa yol, bir tanılamanın yanıt alması için denetim kanalı korumasını kapatmaktır. Bu, gerçek bir güvenlik özelliğini daha güzel bir tarama sonucuyla değiştirir ve yanlış yöndür. Bunun yerine onaylı bir ağdan geçerli bir profil kullanın ve karşılaştırmanın yinelenebilir olması için uç noktayı ve zamanı not edin.
En yararlı test fark testidir: aynı profil çalışan yolda ve çalışmayan yolda. Çalışan yol bir el sıkışma üretiyor ve başarısız yol arayüzde hiçbir şey üretmiyorsa, hiçbir şeyi zayıflatmadan kopmanın yerini bulmuş olursunuz.
Bu nedenle yanıtsız kalan UDP paketi ne sunucunun çevrimdışı olduğunu ne de güvenli olduğunu kanıtlar. Yalnızca bu sondanın, bu yolda, bu anda kabul edilmediğini kanıtlar.