Как скрыть порт от nmap?

Question

[mihasyo]

Доброго всем времени суток!
Собственно, имеется сервер на Debian, на нём запущен ряд сервисов с проброшенными портами.
При сканировании IP сервера средствами nmap-а, видно все открытые порты и версии сервисов смотрящих в мир (ssh, webmin, гуя роутера), кроме OpenVPN-а. Вопрос:
- Почему не видно открыт ого порта OpenVPN?
- Как скрыть все остальные порты от сканирования?

UPD Вывод nmap-a:
#nmap -sU XXX.XXX.XXX.XXX

Starting Nmap 6.47 ( nmap.org ) at 2015-03-06 15:57 RTZ 2 (зима)
Nmap scan report for XXX.XXX.XXX.XXX
Host is up (0.027s latency).
All 1000 scanned ports on XXX.XXX.XXX.XXX are open|filtered
Nmap done: 1 IP address (1 host up) scanned in 29.44 seconds

Без ключа -sU (порта VPN тут нет):
#nmap XXX.XXX.XXX.XXX
Starting Nmap 6.47 ( nmap.org ) at 2015-03-06 16:00 RTZ 2 (зима)
Nmap scan report for XXX.XXX.XXX.XXX
Host is up (0.032s latency).
Not shown: 997 filtered ports
PORT STATE SERVICE
2200/tcp open ici
8081/tcp open blackice-icecap
20000/tcp open dnp
Nmap done: 1 IP address (1 host up) scanned in 14.29 seconds

С ключом –sV отображает те же порты + версию SSH, Webmin и какие-то крякозябры веб морды роутера.

Answer 1

[Арчи Кузнецов]

openvpn по умолчанию использует udp, если вы запускаете сканирование без параметров, nmap показывает только tcp. добавте параметр -sU

я думаю скрыть их невозможно на 100%

Comments

[mihasyo]

Даже с ключом -sU не видно.

[Арчи Кузнецов]

вывод мне покажите

[mihasyo]

#nmap -sU XXX.XXX.XXX.XXX

Starting Nmap 6.47 ( nmap.org ) at 2015-03-06 15:57 RTZ 2 (зима)
Nmap scan report for XXX.XXX.XXX.XXX
Host is up (0.027s latency).
All 1000 scanned ports on XXX.XXX.XXX.XXX are open|filtered
Nmap done: 1 IP address (1 host up) scanned in 29.44 seconds

Без Вашего ключа (порта VPN тут нет:
#nmap XXX.XXX.XXX.XXX
Starting Nmap 6.47 ( nmap.org ) at 2015-03-06 16:00 RTZ 2 (зима)
Nmap scan report for XXX.XXX.XXX.XXX
Host is up (0.032s latency).
Not shown: 997 filtered ports
PORT STATE SERVICE
2200/tcp open ici
8081/tcp open blackice-icecap
20000/tcp open dnp
Nmap done: 1 IP address (1 host up) scanned in 14.29 seconds

С ключом –sV отображает те же порты + версию SSH, Webmin и какие-то крякозябры веб морды роутера.

[Арчи Кузнецов]

#nmap -sU XXX.XXX.XXX.XXX

Starting Nmap 6.47 ( nmap.org ) at 2015-03-06 15:57 RTZ 2 (зима)
Nmap scan report for XXX.XXX.XXX.XXX
Host is up (0.027s latency).
All 1000 scanned ports on XXX.XXX.XXX.XXX are open|filtered
Nmap done: 1 IP address (1 host up) scanned in 29.44 seconds

добавте диапозон портов, только 1000 сосканировал

[mihasyo]

#nmap -sU -p U:1-2000,T:1-2000 XXX.XXX.XXX.XXX
Starting Nmap 6.47 ( nmap.org ) at 2015-03-06 16:48 RTZ 2 (зима)
Nmap scan report for XXX.XXX.XXX.XXX
Host is up (0.019s latency).
Not shown: 1995 open|filtered ports
PORT STATE SERVICE
269/udp filtered unknown
1006/udp filtered unknown
1262/udp filtered unknown
1309/udp filtered unknown
1990/udp filtered stun-p1
Nmap done: 1 IP address (1 host up) scanned in 60.85 seconds

теперь мне вообще не понятна картина)
ВПН висит на 1200, при команде сканить именно этот порт, выхлоп такой:
PORT STATE SERVICE
1200/udp open|filtered scol

Answer 2

[mikes]

nmap при сканировании конкретного порта TCP/UDP говорит что закрыт? тогда по идее и openVPN не будет работать :)

а вообще архитектурно предполагается, что публичные сервисы имеют открытые порты, иначе как к ним подключаться.
Если вы хотите спрятать все свое добро, то не пробрасывайте порты и не включайте вебадмин на внешку, используйте сервисы только через свой VPN.

можете конечно еще Port knocking но это таки велосипеды.

Answer 3

[Сергей Петриков]

Можно попробовать так

iptables -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j DROP

Answer 4

[ldv]

OpenVPN использует HMAC для защиты от сканера портов.

Comments

[Владимир Мартьянов]

Но как?! connect() же происходит без обмена траффиком или я ошибаюсь?

[ldv]

vilgeforce: не совсем понял вопрос

[Владимир Мартьянов]

ldvldv: Как они используют HMAC для защиты от сканирования? Простейший сканер делает connect() к проверяемому порту и если коннект прошел - может считать его открытым. Никакие данные на этот порт не идут же, насколько я понимаю.

[ldv]

vilgeforce: не вникал в реализацию, но если я правильно понимаю, connect по UDP посылает пакет -> пакет без подписи -> следовательно игнорируется.