Почему мой маршрутизатор регистрирует сумасшедшие объемы заблокированного трафика на порту 1701?

Question

У меня есть 2701HGV-B 2Wire модем и маршрутизатор (AT & T). Журнал в основном заполнен записями, похожими на приведенные ниже, с интервалом между пятой и третьей секундами между записями:

src=86.156.7.170 dst=xxx.xxx.xxx.38 ipprot=17 sport=6882 dport=1701 Unknown inbound session stopped
src=58.176.22.252 dst=xxx.xxx.xxx.38 ipprot=17 sport=21573 dport=1701 Unknown inbound session stopped
src=91.221.6.250 dst=xxx.xxx.xxx.38 ipprot=17 sport=25902 dport=1701 Unknown inbound session stopped
...

где исходный IP будет отличаться для каждой записи. Записи накапливаются постоянно, каждую секунду, что маршрутизатор на нескольких из них появляется в журнале. Пункт назначения - это адрес WAN для моего маршрутизатора. Я понимаю, что это как-то связано с VNC, но я не знаю достаточно, чтобы выяснить, почему мой маршрутизатор подвергается бомбардировке с запросами на сеанс VNC. Есть ли что-нибудь подозрительное или это нормально? Если это нормально, как я могу сохранить эти записи от спама в моих файлах журнала? Поскольку каждую секунду их бывает около двух или трех, все остальное заглушается.

Answer 1

Протокол IP 17 - это UDP, и, как упоминалось в комментариях, UDP/1701 - это порт, обычно используемый для L2TP, протокола VPN.

L2TP сообщал о некоторых уязвимостях, поэтому два наиболее вероятных сценария

1. ПК был взломан и используется для сканирования уязвимых реализаций L2TP, а ваш IP был отсканирован
2. Ваш IP-адрес ранее использовался кем-то еще, кто на самом деле использовал шлюз L2TP, и один из клиентов этого шлюза все еще пытается связаться с ним.

Адрес источника является частью диапазона BT интернет-провайдера Великобритании, поэтому, вероятно, внутреннее соединение.

В любом случае, ваш брандмауэр блокирует его, он делает свою работу. Если вы наблюдаете за внешним подключением, вы увидите много попыток подключения к портам на вашем IP-адресе. Это всего лишь фоновое излучение интернета, компьютеры-зомби делают сканы.

Вы можете смело игнорировать это.