T-Mobile, Verizon, și WireGuard pe portul 53

Rulez un VPN WireGuard găzduit pe Vultr pe OpenBSD. L-am configurat să asculte pe portul 53 deoarece traficul WG este UDP, iar eu bănuiesc că majoritatea firewall-urilor nu blochează traficul UDP trimis acolo. Ei bine, se pare că T-Mobile face ceva cu traficul WireGuard trimis pe portul 53. Rularea pe telefonul meu a funcționat pe Wi-Fi-ul de acasă (Verizon FiOS, mai multe despre asta mai jos), dar nu a funcționat deloc pe conexiunea LTE de la T-Mobile. Inspectând traficul pe server cu tcpdump, am descoperit că pe rețeaua T-Mobile, s-a trimis o cantitate foarte mică de trafic inițial și apoi nimic după aceea. Schimbarea serverului pe portul 443 a funcționat perfect.

Între timp, Verizon a fost extrem de lent (dar funcțional) când folosea portul 53, dar foarte rapid cu portul 443. Bănuiesc că ei limitează traficul DNS deoarece de obicei este o cantitate mică de date și nu se trimite prea frecvent comparativ cu HTTPS, care are o prioritate ridicată. Suspectez că T-Mobile face ceva similar, dar ar putea fi și DPI-ul (inspecția profundă a pachetelor) și aruncarea pachetelor.

Pentru informare, în caz că aveți probleme ciudate de conexiune. Cineva cu experiențe similare?

Nu este surprinzător.

Atacurile de amplificare DNS și o tehnică comună și devastatoare de DoS (atac de tip refuz de serviciu), așa că ar trebui să aveți întotdeauna portul 53 de intrare blocat, motiv pentru care probabil TMobile blochează traficul non-DNS pe portul 53.