مجوز تک‌بسته‌ای (SPA): دفاع فایروال نامرئی بدون پورت باز برای VPN

هر کارگزاری که به شبکه جهانی اینترنت متصل می‌شود، تحت پویش مداوم ابزارهای شناسایی خودکار قرار دارد. موتورهای اسکن شبکه نظیر Shodan و Censys همراه با بات‌نت‌های توزیع‌شده، پیوسته محدوده نشانی‌های IPv4 را برای شناسایی سوکت‌های فعال TCP و UDP اسکن می‌کنند. هنگامی که یک سازمان درگاه‌های دسترسی از راه دور نظیر سرویس‌های OpenSSH، سرویس‌های IPsec یا نقاط پایانی اتصال VPN را در معرض اینترنت عمومی قرار می‌دهد، این پورت‌ها به اهداف اصلی حملات حدس رمز عبور (brute-force)، حملات تقلیل نسخه پروتکل و سوءاستفاده از آسیب‌پذیری‌های روز صفر تبدیل می‌شوند.

دیوارهای آتش سنتی ناچارند برخی پورت‌های سرویس را به صورت دائمی باز نگه دارند تا کاربران دورکار با نشانی‌های IP پویا بتوانند متصل شوند. فناوری مجوز تک‌بسته‌ای (Single Packet Authorization یا SPA) با جداسازی کامل فرآیند احراز هویت از مرحله برقراری اتصال شبکه، این نقطه ضعف بنیادین را برطرف می‌سازد. در معماری SPA، کارگزار هیچ پورت بازی را به اسکنرهای خارجی نشان نمی‌دهد. فایروال در وضعیت پیش‌فرض مسدودسازی (default-drop) کار می‌کند و بسته‌های SYN و کاوشگرهای UDP را بدون بازگرداندن پاسخ TCP RST یا پیام‌های خطای ICMP unreachable در سکوت نادیده می‌گیرد. کاربر تنها با ارسال یک بسته داده احراز هویت رمزنگاری‌شده و غیرقابل‌دستکاری، مجاز به آغاز تبادل داده اصلی با سرور می‌شود.

+-------------------------------------------------------------------------+
|                  پویش مرز شبکه: فایروال ایستا در برابر SPA              |
+-------------------------------------------------------------------------+
|  فایروال ایستای سنتی:                                                   |
|  [مهاجم] ---> اسکن پورت (TCP 22, UDP 51820) ---> [پاسخ پورت باز]        |
|                                                                         |
|  مجوز تک‌بسته‌ای (SPA):                                                 |
|  [مهاجم] ---> اسکن پورت ---> [فایروال DEFAULT DROP: خاموشی مطلق]        |
|  [کاربر مجاز] ---> ۱ بسته داده رمزشده UDP SPA                            |
|                    │ (شنود از طریق libpcap / eBPF بدون باز کردن سوکت)   |
|                    ▼                                                    |
|               [قاعده موقت nftables به مدت ۳۰ ثانیه فعال می‌شود]          |
+-------------------------------------------------------------------------+

نقاط ضعف مرگبار تکنیک سنتی Port Knocking

برای درک اهمیت فناوری SPA، باید کاستی‌های راهکار پیشین یعنی تکنیک ضربه به پورت (Port Knocking) را بررسی کرد. این سازوکار که در سال ۲۰۰۳ توسط Martin Krzywinski معرفی شد، از کاربر می‌خواست دنباله‌ای از بسته‌های TCP SYN یا UDP را با ترتیبی از پیش تعیین‌شده به پورت‌های بسته ارسال کند (برای نمونه ضربه به پورت‌های ۷۰۰۰، ۸۰۰۰ و ۹۰۰۰). سرویس پس‌زمینه با پایش گزارش‌های فایروال، توالی را تشخیص می‌داد و دسترسی را موقتاً برای نشانی IP فرستنده باز می‌کرد.

با وجود نوآوری اولیه، این روش سنتی با چالش‌های فنی عمده‌ای مواجه بود:

1. حساسیت به جابه‌جایی ترتیب بسته‌ها: در شبکه‌های سوییچینگ بسته و مسیرهای چندگانه امروزی، بسته‌ها ممکن است با ترتیبی نامرتب به مقصد برسند. در صورتی که روترهای واسط بسته‌ها را با ترتیبی دیگر (مثلاً ۷۰۰۰، ۹۰۰۰، ۸۰۰۰) تحویل دهند، درخواست مردود می‌شود.
2. آسیب‌پذیری در برابر حملات بازپخش (Replay): بسته‌های ضربه فاقد بار داده رمزنگاری‌شده بودند. یک نفوذگر در شبکه محلی (مانند وای‌فای عمومی) می‌توانست پورت‌ها را شنود کرده و با تکرار همان توالی، راه نفوذ را برای نشانی IP خود بگشاید.
3. اختلال بر اثر اسکن‌های تصادفی: اسکنرهای اینترنتی که بازه‌های پورت را متوالی بررسی می‌کنند، ممکن است توالی‌های ناقصی ایجاد کرده و ماشین وضعیت سرور را دچار اختلال کنند.
4. تاخیر محسوس در اتصال: ارسال چند بسته متوالی موجب افزایش زمان انتظار پیش از شروع ارتباط اصلی می‌شد.

مجوز تک‌بسته‌ای (SPA) چیست؟

فناوری مجوز تک‌بسته‌ای توسط Michael Rash (توسعه‌دهنده پروژه fwknop) ابداع شد تا تمام چالش‌های ضربه به پورت را برطرف کند. در این روش، به جای وابستگی به شماره پورت‌ها، تمام اطلاعات هویتی، مجوزهای دسترسی و شرایط نشست درون تنها یک بسته داده رمزشده UDP تعبیه می‌شود.

در معماری SPA، هیچ سوکت شبکه‌ای روی رابط عمومی سرور باز نیست. سرویس‌های نهایی (مانند سرور VPN یا OpenSSH) منحصراً روی localhost یا رابط‌های مجازی خصوصی گوش می‌دهند و رابط خارجی تحت سیاست سخت‌گیرانه DROP عمل می‌کند:

nft add table inet filter
nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; }

هنگامی که پوسته‌ای خارجی شبکه را وارسی می‌کند، هسته لینوکس بسته‌ها را بدون هیچ واکنشی نابود می‌سازد. از دید ابزارهای اسکن، این میزبان تفاوتی با فضای نشانی‌های ثبت‌نشده ندارد: کاملاً نامرئی و خاموش.

ساختار داده و کالبدشکافی بسته SPA

بار داده بسته SPA حاوی فیلدهای اعتبارسنجی ساختاریافته است که با الگوریتم‌های پیشرفته (نظیر AES-256-CBC یا کلیدهای نامتقارن GnuPG) رمزشده و صحت آن با کدهای احراز اصالت HMAC-SHA256 تضمین می‌شود. این سازوکار محرمانگی، یکپارچگی و اصالت داده را در یک تراکنش واحد برقرار می‌سازد.

+-------------------------------------------------------------------------+
|                         ساختار بسته رمزشده SPA                          |
+-------------------------------------------------------------------------+
| [نمک تصادفی ۱۶ بایتی] : [داده رمزشده Rijndael / AES]                   |
|                                                                         |
| فیلدهای متن رمزگشایی‌شده:                                               |
| ۱. عدد یک‌بارمصرف تصادفی Nonce (۱۶ نویسه حرف و رقم)                     |
| ۲. نام کاربری مشتری (برای تطبیق با سیاست‌های دسترسی)                    |
| ۳. برچسب زمانی یونیکس (بررسی اعتبار زمانی ۳۲ بیتی)                       |
| ۴. نگارش نرم‌افزار سمت کاربر fwknop                                     |
| ۵. شاخص حالت درخواست دسترسی (Access Request)                            |
| ۶. شناسه سرویس مقصد: پروتکل/پورت (مانند udp/51820 یا tcp/22)            |
| ۷. نحوه تعیین IP مبدا (نشانی عمومی کاربر یا نشانه خودکار)               |
| ۸. خلاصه چک‌یده SHA-256 از تمام فیلدهای قبلی                            |
+-------------------------------------------------------------------------+

فرمت استاندارد محموله داده در SPA

رشته متنی پس از رمزگشایی، داده‌ها را با علامت دو نقطه از یکدیگر تفکیک می‌کند:

[nonce]:[user]:[timestamp]:[version]:[mode]:[proto/port]:[client_ip]:[sha256_hash]

• مقدار تصادفی Nonce: تضمین می‌کند که داده‌های رمزشده در هر ارتباط کاملاً منحصربه‌فرد باشند، حتی اگر پارامترهای اتصال تغییر نکرده باشند.
• برچسب زمانی یونیکس: به سرور امکان می‌دهد بازه زمانی سخت‌گیرانه‌ای وضع کند (رد درخواست‌هایی با اختلاف زمانی $|\Delta t| > 60$ ثانیه).
• تعیین نشانی IP مبدا: کاربر می‌تواند نشانی بیرونی خود را اعلام کند یا به سرور دستور دهد نشانی را از هدر بسته IP استخراج نماید (بسیار کارآمد در عبور از درگاه‌های NAT).

سازوکار شنود غیرفعال: libpcap و eBPF/XDP

مزیت برجسته امنیتی SPA در این است که سرور محتوای مجوز را بدون باز کردن سوکت شبکه از طریق فراخوان‌های سیستمی bind() و listen() بررسی می‌کند.

دیمن پس‌زمینه SPA با نام fwknopd با بهره‌گیری از کتابخانه libpcap یا فیلترهای هسته‌ای eBPF/XDP بسته‌ها را مستقیماً در لایه پیوند داده دریافت می‌کند:

1. قلاب‌گذاری در لایه هسته: فریم‌های شبکه مستقیماً از درایور کارت شبکه و پیش از ورود به زنجیره فایروال دریافت می‌شوند.
2. بررسی بسته: با دریافت بسته UDP روی پورت تعیین‌شده SPA، محتوا به فضای کاربری منتقل می‌گردد.
3. اعتبارسنجی ریاضی و رمزگشایی: امضای HMAC نخست بررسی می‌شود. در صورت عدم تطابق، بسته بلافاصله حذف می‌شود و توان پردازشی پردازنده صرف رمزگشایی بیهوده نمی‌شود. در صورت صحت امضا، متن با کلید AES یا GPG رمزگشایی می‌گردد.
4. تغییر پویای فایروال: پس از تایید هویت، دیمن یک قاعده موقت در جدول nftables هسته ثبت می‌کند.

پیشگیری از حملات بازپخش (Replay Attacks)

از آنجا که بسته SPA به صورت یک بسته مجزای UDP ارسال می‌شود، این احتمال وجود دارد که شنودگران بسته را ذخیره کرده و برای نفوذ دوباره ارسال نمایند.

پروتکل SPA با راهکاری دو لایه این تهدید را به طور قطعی خنثی می‌سازد:

• انقضای سخت‌گیرانه زمانی: سرور زمان درج‌شده در بسته را با ساعت خود مقایسه می‌کند. در صورتی که اختلاف زمان از حد مجاز (معمولاً ۶۰ ثانیه) فراتر رود، بسته مردود می‌شود. بسته‌های ضبط‌شده قدیمی هیچ کاربردی نخواهند داشت.
• پایگاه ماندگار Nonce: برای جلوگیری از بازپخش در بازه زمانی ۶۰ ثانیه، سرور شناسه هش SHA-256 بسته‌های اخیر را در پایگاه داده حافظه ذخیره می‌کند. ارسال بسته تکراری بلافاصله شناسایی و نادیده گرفته می‌شود.

تقویت امنیتی سرورهای VPN و تونل‌های WireGuard

پروتکل‌های مدرن نظیر WireGuard ساختاری بهینه و بی‌صدا دارند: به بسته‌های دست‌دهی تاییدنشده پاسخی داده نمی‌شود.

با این حال، تکیه صرف به سکوت پروتکل در شبکه‌های حساس با ریسک‌هایی همراه است:

1. کاوش فعال با کلیدهای افشا شده: مهاجمی که به کلیدهای کلاینت دست یافته باشد می‌تواند حضور سرور را تایید کرده و نقشه شبکه را ترسیم کند.
2. شناسایی پورت‌ها توسط فیلترهای پیشرفته (DPI): سامانه‌های پایش ترافیک با رهگیری پورت‌های UDP ثابت (مانند ۵۱۸۲۰) و اندازه بسته‌های دست‌دهی (۱۴۸ بایت)، سرویس‌های VPN را شناسایی و مسدود می‌کنند.
3. آسیب‌پذیری پورت‌های مدیریتی: سرورهای VPN معمولاً دارای درگاه‌های مدیریتی نظیر SSH یا API هستند که باز ماندن آنها در اینترنت خطرساز است.

ترکیب WireGuard با فناوری SPA حصاری نفوذناپذیر می‌سازد: پورت WireGuard و مسیرهای مدیریت در فایروال مسدودند و فقط با ارسال بسته معتبر SPA برای نشانی کاربر باز می‌شوند.

پروتکل RiceGuard و معماری دفاعی پورت مخفی Zero-Port

زیرساخت شبکه VPNRice بر پایه تاب‌آوری مسیرهای شبکه و مرزبندی رمزنگاری بنا شده است. ادغام موتور اختصاصی RiceGuard با معماری Zero-Trust، ارتباط کاربران را در برابر پویش‌های خصمانه محافظت می‌کند.

+-------------------------------------------------------------------------+
|                  معماری پورت مخفی ZERO-PORT در RICEGUARD                |
+-------------------------------------------------------------------------+
|  [ دستگاه کاربر ]                                                       |
|        │                                                                |
|        ├─ ۱. ارسال بسته معتبر SPA (رمزگذاری + امضای HMAC-SHA256)        |
|        │     ▼                                                          |
|  [ گره لبه Anycast ] ---> [ فایروال خاموش (مسدودسازی با eBPF) ]         |
|                                    │ (تایید امضای رمزنگاری)             |
|                                    ▼                                    |
|                             [ بازگشایی موقت قاعده Ingress: ۳۰ ثانیه ]   |
|                                    │                                    |
|        └─ ۲. دست‌دهی WireGuard (ChaCha20-Poly1305 / Noise_IK)           |
|              ▼                                                          |
|        [ برقراری کامل تونل ایمن RiceGuard ]                             |
+-------------------------------------------------------------------------+

اصول کلیدی دفاع نامرئی در زیرساخت RiceGuard عبارتند از:

• عدم افشای پورت‌های خارجی: رابط‌های شبکه عمومی برای ابزارهای اسکن کاملاً خاموش و دست‌نیافتنی هستند.
• دسترسی لحظه‌ای هدفمند: هنگام اتصال، بسته تایید هویت پورت را فقط برای نشانی متقاضی و به مدت ۳۰ ثانیه باز می‌کند.
• پایداری اتصال در جابه‌جایی شبکه: در هنگام تغییر اتصال بین وای‌فای و داده همراه، کلیدهای نشست مسیر جدید را بدون افشای هسته اصلی شبکه تایید می‌کنند.

کاربرانی که در پی اتصالی ایمن، پایدار و پرسرعت مبتنی بر معماری شبکه نامرئی هستند، می‌توانند به صفحه دانلود VPN مراجعه فرمایند.

پیاده‌سازی عملی با fwknop و nftables

راه‌اندازی سامانه Single Packet Authorization در سرورهای لینوکس با بهره‌گیری از fwknopd و سامانه فایروال مدرن nftables انجام می‌گیرد.

پیکربندی فایل‌های fwknopd.conf و access.conf

در فایل /etc/fwknop/fwknopd.conf سازوکار دریافت بسته‌ها را مشخص نمایید:

# تنظیم شنود فریم‌ها روی کارت شبکه اصلی از طریق libpcap
PCAP_INTF                   eth0;
ENABLE_NFTABLES             Y;
NFT_TABLE                   filter;
NFT_CHAIN                   input;
ENABLE_SPA_PACKET_AGING     Y;
MAX_SPA_PACKET_AGE          60;
ENABLE_DIGEST_CACHE         Y;

در فایل /etc/fwknop/access.conf سیاست‌های دسترسی و کلیدها تعریف می‌شوند:

# تعریف مشخصات دسترسی ایستگاه کاری
SOURCE                      ANY;
OPEN_PORTS                  udp/51820, tcp/22;
KEY_BASE64                  +n8kZ3fV9g5wJkL8x7Qp1vYw2z4mR6tP8s0uA2bC4dE=;
HMAC_KEY_BASE64             k9P2wL4mR6tP8s0uA2bC4dE+n8kZ3fV9g5wJkL8x7Q=;
FW_ACCESS_TIMEOUT           30;
REQUIRE_SOURCE_ADDRESS      N;

با اجرای دستور fwknop -A udp/51820 -D 198.51.100.1 -R در سمت کلاینت، سرور محتوا را تایید کرده و قاعده موقت ۳۰ ثانیه‌ای را در nftables درج می‌کند. پس از برقراری نشست، پیگیری وضعیت فایروال (ct state established,related accept) اتصال را باز نگه می‌دارد، در حالی که پورت برای دیگران مجدداً ناپدید می‌شود.

مقایسه جامع معماری: ضربه به پورت، SPA و Zero Trust

بهینه‌سازی کارایی و تاب‌آوری در برابر حملات DoS سنگین

در شبکه‌های پربار، اجرای سرویس SPA نیازمند تنظیمات خاصی در سطح هسته است:

1. فیلتر اولیه بر پایه HMAC: همیشه کلید مستقل HMAC را در کنار رمزگذاری AES فعال کنید. بررسی صحت HMAC پیش از آغاز رمزگشایی از هدر رفتن توان پردازنده جلوگیری می‌نماید.
2. افزایش حافظه بافر کارت شبکه: با افزایش ظرفیت بافر دریافت (SO_RCVBUFFORCE) مانع از دست رفتن بسته‌ها در ترافیک ناگهانی شوید.
3. به‌کارگیری eBPF/XDP در لایه هسته: در محیط‌هایی با میلیون‌ها بسته بر ثانیه، پالایش طول بسته در سطح کارت شبکه، بار پردازشی را به حداقل می‌رساند.

چک‌لیست امنیتی فایروال نامرئی برای مدیران شبکه

متخصصان شبکه هنگام پیاده‌سازی معماری SPA باید موارد زیر را بازبینی نمایند:

1. اعمال کامل سیاست مسدودسازی: مطمئن شوید فایروال بسته‌های ناشناس را بدون ارسال پیام خطای ICMP حذف می‌کند.
2. جداسازی کامل پورت‌های مدیریتی: پورت‌های حساسی چون SSH را صرفاً به نشانی محلی 127.0.0.1 متصل سازید.
3. استفاده از معماری دو کلیدی: کلیدهای مجزایی را برای رمزگذاری متقارن و امضای HMAC در نظر بگیرید.
4. همگام‌سازی زمان سرور: با استفاده از سرویس‌های دقیق NTP یا NTS، اختلاف زمانی سیستم‌ها را زیر ۶۰ ثانیه نگاه دارید.
5. محدودسازی زمان بازگشایی موقت: بازه FW_ACCESS_TIMEOUT را بین ۱۵ تا ۳۰ ثانیه تنظیم نمایید تا پنجره نفوذ به کمترین میزان تقلیل یابد.

حذف پورت‌های عمومی شیوه امنیت شبکه‌های ارتباطی را دگرگون می‌سازد. ترکیب هوشمندانه رمزنگاری با پایش غیرفعال بسته‌ها در فناوری Single Packet Authorization اطمینان می‌دهد که دروازه‌های حیاتی VPN همواره از دید اسکنرهای مهاجم اینترنتی پنهان بمانند.