UDP y los flujos sin conexión

En UDP no hay estados de protocolo que seguir. El cortafuegos crea una entrada con el primer paquete que permite, anota que todavía no ha visto respuesta y la mantiene mientras circulen paquetes; si en un tiempo fijo no circula ninguno, la borra. Cuando llega un paquete de vuelta con la tupla invertida, lo permite y suele marcar el flujo como con respuesta, a veces con un temporizador distinto. Como no hay cierre, el temporizador es la única forma de limpiar la tabla.

El síntoma de la telefonía es clásico: el registro de la central se refresca cada cierto número de segundos para mantener abierto el camino de las llamadas entrantes. Si el cortafuegos olvida el flujo antes del siguiente refresco, el camino se cierra y las llamadas entrantes no llegan hasta que la central vuelve a registrarse.

Consulta aplicaciones_udp y compara, aplicación por aplicación, cada cuántos segundos refresca con el temporizador del cortafuegos. Las que no refrescan (valor 0) abren un flujo nuevo en cada intercambio y no sufren este problema.

Cada aplicación está asociada a una regla. Para proponer el ajuste hay que citar la regla exacta, porque el temporizador se puede configurar por regla o por servicio y no solo de forma global.

Una cantidad grande de flujos sin respuesta puede tener causas inocentes (un servidor caído, una consulta a un destino que ya no existe) y otras que merecen atención (tráfico dirigido a un servicio interno desde fuera que no contesta). El registro solo prueba lo observado: cuántos flujos hubo, desde dónde y a qué puerto, no la intención.

Consulta flujos_udp filtrando los flujos sin respuesta.

La RFC 4787, que fija requisitos de comportamiento para NAT con UDP, pide que la asignación no caduque antes de dos minutos, con la excepción de aplicaciones de puertos bien conocidos que pueden usar un valor menor (como el DNS), y recomienda cinco minutos o más para el tráfico general. Es un requisito para NAT, no para todo cortafuegos, pero muestra la tensión: un valor corto protege la tabla y uno largo evita cortar aplicaciones lentas.