O escaneo UDP di filtrado: o teu par de WireGuard está realmente caído?

Os escáneres imprimen aberto ou filtrado para un porto UDP, e a conclusión adoita chegar en segundos: o túnel está roto. Pode que o estea, pero o escaneo non o demostrou. UDP non leva ningún handshake de conexión, e WireGuard non responde a nada que non poida autenticar, así que o silencio é a resposta esperada á maioría das sondas.

Traballa en cambio desde o cliente cara a fóra, e trata o escaneo como un dato débil entre varios.

Que pode ver o escáner e que non

Un escáner UDP envía unha carga e espera. Se volve un ICMP de porto inalcanzable, pode informar o porto como pechado. Se non volve nada, o resultado é ambiguo por deseño: unha ruta filtrada, un host ausente e un servizo en marcha que ignorou a carga producen o mesmo silencio. Tres estados distintos, unha soa cadea de saída.

WireGuard empeora esa ambigüidade a propósito. O protocolo acepta un paquete só cando se autentica, así que unha sonda coas claves equivocadas descártase sen resposta. Non hai banner, nin cadea de versión, nin mensaxe de erro que identificar.

Unha proba TCP no mesmo número de porto non proba nada relacionado. Exercita outro listener que quizais non exista, e o seu rexeitamento non di nada sobre UDP.

Os estados abertos filtrados describen, por tanto, a incerteza do escáner con máis precisión que o teu servidor.

Percorre o cliente real desde o perfil cara a dentro

Comeza pola visión do propio cliente. Ten a interface un enderezo, nomea a configuración o extremo correcto e móvese o contador de handshakes cando se tenta unha conexión? Un cliente que nunca enviou un paquete e un cliente cuxos paquetes se descartaron vense idénticos nunha xanela de estado. Só os contadores os distinguen, así que le primeiro os contadores.

Despois observa o lado do servidor mentres ocorre un intento autorizado, en lugar de executar un escaneo á parte desde un terceiro lugar:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

O primeiro comando informa do último handshake por par, que é evidencia directa de que se completou un intercambio autenticado. O segundo mostra se chegan paquetes para o listener, o que separa un problema de ruta dun problema de configuración nun só paso.

Se a captura non mostra nada, o paquete nunca chegou ao host e a configuración do túnel non é a sospeitosa. Se mostra paquetes que chegan desde o enderezo esperado mentres o handshake segue en cero, as claves ou os enderezos permitidos do par son o seguinte lugar onde mirar.

Correlaciona no servidor cando o administras

Confirma que o listener existe e que o cortafuegos do provedor permite o porto UDP. Unha regra de cortafuegos do host e un grupo de seguridade da nube son dúas portas independentes, e calquera das dúas pode descartar un paquete que a outra permitiu. Comproba ambas contra o porto real da configuración e non contra o porto que lembras.

O enderezo importa tanto como o porto. Un servidor que escoita nun enderezo concreto non responderá a un paquete que chegue a outro, e un host con varias interfaces pode recibir a sonda pola interface que non querías.

Mantén cada proba dentro de sistemas que esteas autorizado a probar. A comparación útil é entre un intento real do cliente e a ruta esperada do servidor, non un varrido máis amplo de enderezos que casualmente pertencen ao mesmo provedor.

Ler un resultado de escaneo con honestidade

Un escaneo é unha forma barata de comprobar que un host existe e que un porto non está obviamente bloqueado por un dispositivo intermedio. Non é unha proba de alcanzabilidade para un protocolo autenticado, e desde logo non é unha proba de configuración.

A evidencia máis sólida é un handshake completado co cliente que de verdade che importa, seguido dunha petición que use o túnel e obteña resposta. Esa secuencia exercita as claves, os enderezos permitidos, ambos cortafuegos e a ruta de volta dunha vez.

Cando o intento real falla, o fallo aínda se debe diagnosticar cos contadores do cliente e a captura do servidor, non con outra sonda. A descrición do protocolo explica por que un paquete non autenticado non recibe resposta, que é a razón completa de que o resultado do escaneo sexa ambiguo.