UDP skanerlash “filtrlangan” deydi: WireGuard hamkoringiz haqiqatan ham ishlamayaptimi?

Skanerlar UDP porti uchun ochiq yoki filtrlangan deb chiqaradi va xulosa odatda bir necha soniya ichida keladi: tunnel buzilgan. Bo'lishi mumkin, lekin skanerlash buni isbotlamadi. UDP hech qanday ulanish qo'l siqishini tashimaydi va WireGuard o'zi tasdiqlay olmaydigan hech narsaga javob bermaydi, shuning uchun sukunat ko'pchilik tekshiruvlar uchun kutilgan javobdir.

Buning o'rniga mijozdan tashqariga qarab ishlang va skanerlashni bir nechta zaif ma'lumot nuqtalaridan biri deb hisoblang.

Skaner nimanidir ko'ra oladi, nimanidir yo'q

UDP skaneri yuk yuboradi va kutadi. Agar ICMP port-unreachable qaytsa, u portni yopiq deb e'lon qilishi mumkin. Agar hech narsa qaytmasa, natija dizayn bo'yicha noaniq: filtrlangan yo'l, mavjud bo'lmagan xost va yukni e'tiborsiz qoldirgan ishlab turgan xizmat bir xil sukunatni keltirib chiqaradi. Uch xil holat, bitta chiqish satri.

WireGuard bu noaniqlikni ataylab yanada kuchaytiradi. Protokol paketni faqat u tasdiqlangandagina qabul qiladi, shuning uchun noto'g'ri kalitlar bilan kelgan tekshiruv javobsiz tashlanadi. Barmoq izini olish uchun banner, versiya satri yoki xato xabari yo'q.

Xuddi shu port raqamida TCP sinovi hech qanday bog'liq narsani sinamaydi. U mavjud bo'lmasligi mumkin bo'lgan boshqa tinglovchini ishga soladi va uning rad etishi UDP haqida hech narsa demaydi.

Shuning uchun ochiq filtrlangan holatlar serveringizni emas, skanerning noaniqligini aniqroq tasvirlaydi.

Haqiqiy mijozni profildan ichkariga qarab yurib chiqing

Mijozning o'z ko'rinishidan boshlang. Interfeysda manzil bormi, konfiguratsiya to'g'ri oxirgi nuqtani ko'rsatadimi va ulanishga urinilganda qo'l siqish hisoblagichi harakatlanadimi? Hech qachon paket yubormagan mijoz va paketlari tashlab yuborilgan mijoz holat oynasida bir xil ko'rinadi. Ularni faqat hisoblagichlar ajratadi, shuning uchun avval hisoblagichlarni o'qing.

Keyin uchinchi joydan alohida skanerlash o'rniga, bitta ruxsat etilgan urinish paytida server tomonini kuzating:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Birinchi buyruq har bir hamkor bo'yicha oxirgi qo'l siqishni ko'rsatadi, bu tasdiqlangan almashinuv tugaganining bevosita dalilidir. Ikkinchisi tinglovchi uchun paketlar umuman yetib keladimi yoki yo'qligini ko'rsatadi, bu bir qadamda yo'l muammosini konfiguratsiya muammosidan ajratadi.

Agar yozib olish hech narsa ko'rsatmasa, paket xostga hech qachon yetib kelmagan va tunnel konfiguratsiyasi gumondor emas. Agar kutilgan manzildan paketlar kelayotganini ko'rsatsa-yu, qo'l siqish nolda qolsa, keyingi qaraladigan joy kalitlar yoki hamkorning ruxsat etilgan manzillaridir.

Serverni boshqarganingizda unda korrelyatsiya qiling

Tinglovchi mavjudligini va provayderning tarmoq devori UDP portiga ruxsat berishini tasdiqlang. Xost tarmoq devori qoidasi va bulut xavfsizlik guruhi ikkita mustaqil darvozadir va har biri ikkinchisi ruxsat bergan paketni tashlab yuborishi mumkin. Ikkalasini ham konfiguratsiyadagi haqiqiy portga nisbatan tekshiring, eslab qolgan portingizga emas.

Manzil port kabi muhim. Muayyan manzilda tinglayotgan server boshqa manzilga kelgan paketga javob bermaydi va ko'p interfeysli xost tekshiruvni siz nazarda tutmagan interfeysda qabul qilishi mumkin.

Har bir sinovni sinashga ruxsat berilgan tizimlar ichida saqlang. Foydali taqqoslash bitta haqiqiy mijoz urinishi va kutilgan server yo'li o'rtasida bo'ladi, bir xil provayderga tasodifan tegishli manzillarni kengroq ko'zdan kechirish emas.

Skanerlash natijasini halol o'qish

Skanerlash xost mavjudligini va port oraliq qurilma tomonidan aniq to'sib qo'yilmaganligini tekshirishning arzon usulidir. Bu tasdiqlangan protokol uchun yetib borish dalili emas va albatta konfiguratsiya sinovi emas.

Kuchliroq dalil sizga haqiqatan muhim bo'lgan mijozdan tugallangan qo'l siqish, so'ngra tunneldan foydalanadigan va javob oladigan so'rovdir. Bu ketma-ketlik kalitlarni, ruxsat etilgan manzillarni, ikkala tarmoq devorini va qaytish yo'lini bir yo'la sinovdan o'tkazadi.

Haqiqiy urinish muvaffaqiyatsiz bo'lsa, nosozlik baribir boshqa tekshiruv bilan emas, mijoz hisoblagichlari va server yozuvi bilan tashxis qilinishi kerak. Protokol tavsifi tasdiqlanmagan paket nima uchun javob olmasligini tushuntiradi va skanerlash natijasi noaniq bo'lishining butun sababi shu.