L’escaneig UDP diu filtrat: el teu parell de WireGuard està realment caigut?

Els escàners imprimeixen obert o filtrat per a un port UDP, i la conclusió sol arribar en pocs segons: el túnel està trencat. Pot ser-ho, però l’escaneig no ho ha establert. UDP no porta cap handshake de connexió, i WireGuard no respon res que no pugui autenticar, així que el silenci és la resposta esperada a la majoria de sondes.

En lloc d’això, treballa del client cap enfora i tracta l’escaneig com una dada feble entre diverses.

Què pot veure l’escàner i què no

Un escàner UDP envia una càrrega i espera. Si torna un ICMP port inabastable, pot informar del port com a tancat. Si no torna res, el resultat és ambigu per disseny: un camí filtrat, un amfitrió absent i un servei en marxa que ha ignorat la càrrega produeixen el mateix silenci. Tres estats diferents, una sola cadena de sortida.

WireGuard empitjora aquesta ambigüitat a propòsit. El protocol només accepta un paquet quan s’autentica, així que una sonda amb les claus equivocades es descarta sense resposta. No hi ha cap bàner, cap cadena de versió ni cap missatge d’error per identificar.

Una prova TCP al mateix número de port no prova res relacionat. Exerceix un altre escoltador que potser no existeix, i la seva negativa no diu res sobre UDP.

Els estats oberts filtrats descriuen, doncs, la incertesa de l’escàner amb més precisió que el teu servidor.

Recorre el client real des del perfil cap endins

Comença per la visió del propi client. La interfície té una adreça, la configuració anomena el punt final correcte i el comptador d’handshakes es mou quan es prova una connexió? Un client que mai no ha enviat cap paquet i un client els paquets del qual s’han descartat es veuen idèntics en una finestra d’estat. Només els comptadors els distingeixen, així que llegeix primer els comptadors.

Després observa el costat del servidor mentre es produeix un intent autoritzat, en lloc d’executar un escaneig separat des d’una tercera ubicació:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

La primera ordre informa de l’últim handshake per parell, que és evidència directa que s’ha completat un intercanvi autenticat. La segona mostra si arriben paquets per a l’escoltador, cosa que separa un problema de camí d’un problema de configuració en un sol pas.

Si la captura no mostra res, el paquet no ha arribat mai a l’amfitrió i la configuració del túnel no és la sospitosa. Si mostra paquets que arriben de l’adreça esperada mentre l’handshake continua a zero, les claus o les adreces permeses del parell són el següent lloc on mirar.

Correlaciona al servidor quan l’administres

Confirma que l’escoltador existeix i que el tallafoc del proveïdor permet el port UDP. Una regla de tallafoc de l’amfitrió i un grup de seguretat del núvol són dues portes independents, i qualsevol de les dues pot descartar un paquet que l’altra ha permès. Comprova totes dues contra el port real de la configuració i no contra el port que recordes.

L’adreça importa tant com el port. Un servidor que escolta en una adreça concreta no respondrà un paquet que arribi a una altra, i un amfitrió amb diverses interfícies pot rebre la sonda per la interfície que no volies.

Mantén cada prova dins de sistemes que estiguis autoritzat a provar. La comparació útil és entre un intent real del client i el camí esperat del servidor, no un escombrat més ampli d’adreces que casualment pertanyen al mateix proveïdor.

Llegir un resultat d’escaneig amb honestedat

Un escaneig és una manera barata de comprovar que un amfitrió existeix i que un port no està òbviament bloquejat per un dispositiu intermediari. No és una prova d’abastabilitat per a un protocol autenticat, i sens dubte no és una prova de configuració.

L’evidència més sòlida és un handshake completat amb el client que realment t’importa, seguit d’una petició que utilitza el túnel i obté resposta. Aquesta seqüència exerceix les claus, les adreces permeses, tots dos tallafocs i el camí de tornada en un sol moviment.

Quan l’intent real falla, la fallada s’ha de diagnosticar igualment amb els comptadors del client i la captura del servidor, no amb una altra sonda. La descripció del protocol explica per què un paquet no autenticat no rep resposta, que és tota la raó per la qual el resultat de l’escaneig és ambigu.