Kiểm tra kết nối cổng UDP

Tôi đang cố kiểm tra xem tôi có thể truy cập vào một cổng cụ thể trên máy chủ từ xa không (cả hai đều có quyền truy cập) thông qua UDP.

Cả hai máy chủ đều phải đối mặt với internet. Tôi đang sử dụng netcat để có một cổng nghe nhất định.

Sau đó tôi sử dụng nmap để kiểm tra cổng đó để xem nó có mở không, nhưng nó không xuất hiện.

Iptables bị tắt.

Bất kỳ đề xuất tại sao điều này có thể được? Cuối cùng tôi sẽ thiết lập một đường hầm VPN, nhưng vì tôi rất mới với các đường hầm, tôi muốn đảm bảo rằng tôi có kết nối trên cổng UDP 1194 trước khi tiến lên.

Không có thứ gọi là cổng UDP "mở", ít nhất là không phải theo nghĩa mà hầu hết mọi người thường nghĩ (đó là trả lời một cái gì đó như "OK, tôi đã chấp nhận kết nối của bạn"). UDP không có phiên, vì vậy "một cổng" (đọc: giao thức UDP trong ngăn xếp IP của hệ điều hành) sẽ không bao giờ tự đáp ứng "thành công".

Cổng UDP chỉ có hai trạng thái: nghe hay không. Điều đó thường có nghĩa là "có một ổ cắm mở trên nó theo một quy trình" hoặc "không có bất kỳ ổ cắm nào mở". Trường hợp sau phải dễ dàng phát hiện do hệ thống sẽ phản hồi với gói Không thể truy cập đích của ICMP với mã = ​​3 (Cổng không thể truy cập được). Thật không may, nhiều tường lửa có thể làm rơi các gói đó, vì vậy nếu bạn không nhận lại được bất cứ điều gì, bạn không biết chắc là cổng có ở trạng thái này hay không. Và đừng quên rằng ICMP cũng không có phiên và không thực hiện truyền lại: gói Không thể truy cập cổng rất có thể bị mất ở đâu đó trên mạng.

Một cổng UDP ở trạng thái "nghe" hoàn toàn không thể phản hồi (quá trình nghe trên nó chỉ nhận được gói và không truyền bất cứ thứ gì) hoặc nó có thể gửi lại một cái gì đó (nếu quá trình này hoạt động khi nhận và nếu nó hoạt động phản hồi qua UDP cho IP người gửi ban đầu: cổng). Vì vậy, một lần nữa, bạn không bao giờ biết chắc trạng thái là gì nếu bạn không nhận lại được gì.

Bạn nói rằng bạn có thể kiểm soát máy chủ nhận: điều đó giúp bạn có thể xây dựng giao thức của riêng mình để kiểm tra khả năng tiếp cận cổng UDP: chỉ cần đặt một quy trình trên máy chủ nhận sẽ lắng nghe trên cổng UDP đã cho và trả lời lại (hoặc gửi cho bạn một email, hoặc chỉ là quái đản và unlink()mọi thứ trên hệ thống tệp máy chủ ... bất cứ điều gì sẽ kích hoạt sự chú ý của bạn sẽ làm).

Để kiểm tra xem cổng udp có phản hồi không, hãy sử dụng netcat.

Một ví dụ từ trang man :

nc -v -u -z -w 3 example.host 20-30
    Send UDP packets to ports 20-30 of example.host, and report which ones
    did not respond with an ICMP packet after three seconds.

Tất nhiên, nếu tường lửa đang hoạt DROPđộng, thường là trường hợp khi xử lý các cổng truy cập internet, bạn sẽ không nhận được phản hồi ICMP.

1. cả hai trên máy khách ans máy chủ cài đặt nc: yum install nc(cho centos)
2. trên máy chủ nghe cổng UDP: nc -ul 6111
3. trên khách hàng nc -u <server> 6111
4. nhập bất cứ thứ gì trên máy khách và nhấn enter - bạn sẽ thấy văn bản này trên máy chủ

Lưu ý: Khi bạn chạy nc -ullệnh trên máy chủ, nó sẽ chỉ kết nối cho kết nối đầu tiên đến với nó. Như tôi đã tìm ra, bạn không thể chuyển đổi giữa các máy chủ ping mà không dừng lại và khởi động lại nc -ul. Trong thực tế, nếu bạn ^ C dừng máy khách ( nc -u ...), bạn cũng không thể khởi động lại máy khách mà không khởi động lại trình nghe máy chủ.

Việc kiểm tra các cổng UDP mở bằng nmap có nhiều nguy hiểm - không có bắt tay ba bước để chỉ ra độ mở. Trừ khi quá trình nghe phản hồi với bất kỳ nmap nào gửi, không có cách nào để nmap phân biệt giữa một cổng mở không phản hồi và một cổng được lọc.

Dễ dàng hơn nhiều chỉ là nghe ở một đầu với netcat và sử dụng netcat ở đầu kia để gửi các gói, và xem chúng đến đầu kia. Làm cả hai cách chỉ cần chắc chắn. Bạn cũng có thể tcpdumpthấy các gói đến nơi cần đến.

Tôi đã gặp một vấn đề tương tự và tìm thấy một giải pháp tốt khi sử dụng netcat tại đây: http://en.wikipedia.org/wiki/Netcat#Test_if_UDP_port_is_open:_simple_UDP_server_and_client

nc -vzu <host> <port>

Tôi đã có thể xác nhận cổng UDP của mình đã mở và sau đó có thể tiến hành kiểm tra mã thực tế của tôi.

Bạn có thể quét các cổng udp bằng cách sử dụng lệnh sau

nmap -sU -v <hostname or ip>

Bạn có thể làm điều này với netcat(nc) hoặc iperfgiả sử bạn có một máy khác để kiểm tra bên ngoài mạng. Lựa chọn của tôi sẽ là nmapquét UDP từ một hệ thống bên ngoài môi trường của bạn. Dòng lệnh nmap của bạn là gì? Có bất kỳ tường lửa phần cứng hoặc các thiết bị khác trong hỗn hợp?

Tôi có một cách tiếp cận đơn giản. Nếu máy chủ UDP không trả về dữ liệu dự kiến, tôi chỉ dừng thu thập các chương trình, giả sử nó đã bị hỏng:

LINE: while(1)
{
    my $line;
    my $flags;

    local $SIG{ALRM} = sub {die "exceeded timeout for recv"};
    alarm 5;
    eval {
        $socket->recv($line,2024,$flags);
    };

    unless($line =~ /\{.*\}/){
        if($verbose){
            print STDERR "Invalid or empty dgram:\n",'"', $line, '"',"\n";
        }

        last LINE;
    }
}