A varredura UDP diz filtrado: seu par WireGuard está realmente fora do ar?

Os scanners imprimem aberto ou filtrado para uma porta UDP, e a conclusão costuma vir em segundos: o túnel está quebrado. Pode estar, mas a varredura não provou isso. O UDP não carrega nenhum handshake de conexão, e o WireGuard não responde a nada que não consiga autenticar, então o silêncio é a resposta esperada para a maioria das sondas.

Trabalhe do cliente para fora, em vez disso, e trate a varredura como um dado fraco entre vários.

O que o scanner pode e não pode ver

Um scanner UDP envia uma carga e espera. Se voltar um ICMP de porta inalcançável, ele pode relatar a porta como fechada. Se nada voltar, o resultado é ambíguo por projeto: um caminho filtrado, um host ausente e um serviço em execução que ignorou a carga produzem o mesmo silêncio. Três estados diferentes, uma única string de saída.

O WireGuard piora essa ambiguidade de propósito. O protocolo só aceita um pacote quando ele se autentica, então uma sonda com as chaves erradas é descartada sem resposta. Não há banner, nem string de versão, nem mensagem de erro para identificar.

Um teste TCP no mesmo número de porta não testa nada relacionado. Ele exercita outro listener que talvez não exista, e sua recusa não diz nada sobre UDP.

Estados abertos filtrados descrevem, portanto, a incerteza do scanner com mais precisão do que descrevem o seu servidor.

Percorra o cliente real do perfil para dentro

Comece pela visão do próprio cliente. A interface tem um endereço, a configuração nomeia o endpoint certo e o contador de handshakes se move quando se tenta uma conexão? Um cliente que nunca enviou um pacote e um cliente cujos pacotes foram descartados parecem idênticos em uma janela de status. Só os contadores os distinguem, então leia os contadores primeiro.

Depois observe o lado do servidor enquanto uma tentativa autorizada acontece, em vez de executar uma varredura separada de um terceiro local:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

O primeiro comando informa o último handshake por par, o que é evidência direta de que uma troca autenticada foi concluída. O segundo mostra se os pacotes para o listener chegam, o que separa um problema de caminho de um problema de configuração em um único passo.

Se a captura não mostrar nada, o pacote nunca chegou ao host e a configuração do túnel não é a suspeita. Se mostrar pacotes chegando do endereço esperado enquanto o handshake continua em zero, as chaves ou os endereços permitidos do par são o próximo lugar a olhar.

Correlacione no servidor quando você o administra

Confirme que o listener existe e que o firewall do provedor permite a porta UDP. Uma regra de firewall do host e um grupo de segurança da nuvem são dois portões independentes, e qualquer um deles pode descartar um pacote que o outro permitiu. Verifique os dois contra a porta real na configuração, e não contra a porta que você lembra.

O endereço importa tanto quanto a porta. Um servidor ouvindo em um endereço específico não responderá a um pacote que chega em outro, e um host com várias interfaces pode receber a sonda na interface que você não pretendia.

Mantenha cada teste dentro de sistemas que você está autorizado a testar. A comparação útil é entre uma tentativa real do cliente e o caminho esperado do servidor, não uma varredura mais ampla de endereços que por acaso pertencem ao mesmo provedor.

Ler um resultado de varredura com honestidade

Uma varredura é uma forma barata de verificar que um host existe e que uma porta não está obviamente bloqueada por um dispositivo intermediário. Não é uma prova de alcançabilidade para um protocolo autenticado, e certamente não é um teste de configuração.

A evidência mais forte é um handshake concluído do cliente que realmente importa para você, seguido de uma requisição que usa o túnel e obtém resposta. Essa sequência exercita as chaves, os endereços permitidos, os dois firewalls e o caminho de volta de uma vez.

Quando a tentativa real falha, a falha ainda precisa ser diagnosticada com os contadores do cliente e a captura do servidor, e não com outra sonda. A descrição do protocolo explica por que um pacote não autenticado não recebe resposta, e é exatamente por isso que o resultado da varredura é ambíguo.