UDP VPN port skanida jim qoladimi? Bu nima uchun sodir bo'ladi
WireGuard va qattiqlashtirilgan OpenVPN autentifikatsiyadan o'tmagan datagrammalarni javob bermasdan tashlaydi. Skanerdan kelgan sukunat kutilgan xatti-harakat, yopiq port emas.
Siz VPN portini skanerlaysiz, javob olmaysiz va xizmat to'xtagan yoki xavfsizlik devori yopiq deb xulosa qilasiz. WireGuardda va o'z autentifikatsiyasini olib yuruvchi OpenVPN boshqaruv kanallarida bu xulosa to'g'ri emas. Haqiqiy autentifikatsiya materiali bo'lmagan datagramma javobsiz tashlanadi, shuning uchun sukunat sog'lom xizmatning tashqaridan ko'rinishidir. Tunnel xato bo'lishidan oldin sinov xato.
Sukunat — bu protokol, nosozlik emas
UDPda ulanish o'rnatish yo'q, shuning uchun skanerga ochiq portni filtrlangan portdan ajratishga imkon beradigan SYN ham, tasdiq ham yo'q. Sinov alohida datagramma sifatida keladi va xizmat u kutilgan protokolga mos kelishini tekshiradi. Mos kelmasa, paket tashlanadi va tashlash nosozlik emas, hujjatlashtirilgan xatti-harakatdir.
WireGuard o'zining handshake xabarlarini kriptografik tekshiradi va muvaffaqiyatsiz bo'lgan hamma narsani e'tiborsiz qoldiradi. OpenVPN tls-auth yoki tls-crypt bilan o'z boshqaruv kanali uchun ham xuddi shunday qiladi. Ikkala holatda ham har qanday ixtiyoriy yuk foydalanuvchiga qaragan bosqichga hech qachon yetib bormaydi, shuning uchun javob beradigan narsa ham, qaytaradigan xato ham yo'q.
TCP bo'lganda yopiq portdan sizga reset kelardi. UDP sizni noaniqlikda qoldiradi, skanerlar buni taxmin qilish o'rniga ochiq yoki filtrlangan deb chiqarish bilan hal qiladi.
Skaner nima xulosa qila oladi va nima qila olmaydi
Skan natijasi yuborilgan yuk qanchalik ma'lumotli bo'lsa, shunchalik ma'lumotlidir. Mumkin bo'lgan kuzatishlarni har biri aslida nimani qo'llab-quvvatlashiga qarab tartiblang:
| Probe | Observed result | What it supports |
|---|---|---|
| Empty datagram | No reply | Nothing beyond the fact that UDP was used |
| Random payload | No reply | Consistent with an authenticated service |
| Valid handshake from a real client | A protocol reply | The service is alive and reachable |
| ICMP port unreachable | Unreachable message | The host answered, usually because nothing listens |
Uchinchi qatorni ro'yxatdagi yagona ijobiy sinov sifatida o'qing. Unga haqiqiy profil, haqiqiy kalit va to'g'ri oxirgi nuqta kerak, oddiy skanerda esa aynan shu narsa yo'q.
Yo'lning ikkala chetiga qarang
Siz boshqaradigan server uchun har qanday xulosa chiqarishdan oldin interfeysda yozib oling, so'ng xizmatdan nima ko'rganini so'rang. Ikkala buyruq ham shlyuzda root talab qiladi:
tcpdump -ni any udp port 51820
tcpdump -ni any udp port 1194
wg showAgar interfeysda hech qanday paket ko'rinmasa, yo'l uni xizmat hali nima ko'rmasidan oldin tashlagan, keyingi bekat esa marshrutlash va filtrlash. Agar paketlar kelib, lekin hech qanday handshake tugamasa, xizmat yetib boriladigan va nomuvofiqlik kalitlarda, oxirgi nuqta konfiguratsiyasida yoki protokol versiyasida. O'sha taqqoslash skaner javob bera olmagan savolga javob beradi. Uni haqiqiy mijoz ulanishga urinayotganda ishga tushiring, skaner o'zini takrorlayotganda emas.
Sinovni o'zgartiring, himoyani emas
Vasvasali qisqa yo'l — diagnostika javob olishi uchun boshqaruv kanali himoyasini o'chirish. Bu haqiqiy xavfsizlik xususiyatini chiroyliroq skan natijasiga almashtiradi va bu noto'g'ri yo'nalish. Buning o'rniga tasdiqlangan tarmoqdan haqiqiy profil ishlating va taqqoslash takrorlanadigan bo'lishi uchun oxirgi nuqta va vaqtni yozib qo'ying.
Eng foydali sinov differensial sinovdir: bir xil profil ishlaydigan yo'lda va ishlamaydigan yo'lda. Agar ishlaydigan yo'l handshake hosil qilsa, muvaffaqiyatsiz yo'l esa interfeysda hech narsa hosil qilmasa, hech narsani zaiflashtirmasdan uzilish joyini topdingiz.
Shu sababli javobsiz UDP paketi serverning oflayn ekanini ham, uning xavfsiz ekanini ham isbotlamaydi. U faqat shu sinovning, shu yo'lda, shu lahzada qabul qilinmaganini isbotlaydi.