Nmap se rou skandering misluk oor 'n VPN, maar -sT-verbinding werk?

'n Bladsy laai deur die tonnel terwyl 'n poortskandering die gasheer as af meld, en die eerste ingewing is dat die VPN iets blokkeer. Dit blokkeer gewoonlik niks nuuts nie. Die twee toetse vra die bedryfstelsel om verskillende vermoëns, en net een van hulle het rou pakkettoegang nodig. Werk uit watter vermoë gefaal het voordat jy aan die tonnel raak.

Skei die vermoë van die tonnel

'n Gewone toepassing vra die kern om 'n TCP-verbinding oop te maak, en die kern voer die handdruk uit sonder spesiale bevoegdheid. 'n Rou skandering bou self pakkette, wat 'n rou sok of 'n vasvangsrybewerker nodig het, afhangend van die platform. Dit is toestemmings- en rybewerkervrae, en hulle bestaan of 'n VPN gekoppel is of nie.

Die onderskeid verklaar die algemene asimmetrie. curl slaag omdat die sokpad werk, terwyl die SYN-skandering misluk omdat die proses nie 'n rou sok op die tonnelkoppelvlak kan oopmaak nie. Dit verklaar ook die omgekeerde geval, waar 'n rou skandering as gefiltreer rapporteer omdat die pad die peiling laat val terwyl die toepassingspad goed bly.

Nie een van die resultate beskryf die afgeleë diens nie. Albei beskryf een pad onder een metode, dus hou die metode aan die gevolgtrekking geheg.

Voer die verbindingstoets op een goedgekeurde gasheer uit

Kies die enkele gasheer wat jou taak dek en gebruik dan die modus wat geen rou toegang nodig het nie. Die voorbeeldteiken hier is 198.51.100.24, dokumentasieruimte wat vir hierdie soort illustrasie gereserveer is.

Een reël, een gasheer, een poort, geen ontdekkingsfase nie:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT kies 'n volledige TCP-verbinding, dus volg dit dieselfde kernpad wat 'n toepassing gebruik en het dit geen vasvangsrybewerker nodig nie. -Pn slaan gasheerontdekking oor; nmap doen steeds skakellaag-resolusie vir teikens op die plaaslike segment, so die vlag is nie 'n belofte van nul voorafgaande verkeer nie. --unprivileged sê vir nmap om aan te neem dat dit geen rou of sniffregte het nie, wat die metode verander en niks toestaan nie.

Lees elke vlag as een verandering, nie as 'n herstel nie

Behandel elke opsie as 'n stelling oor metode. Nie een van -sT, -Pn of --unprivileged voeg 'n roete by, maak 'n afgeleë firewall oop of valideer 'n sertifikaat nie. 'n Verbindingskandering voltooi ook 'n werklike handdruk wat die diens aanmeld, so 'n goedgekeurde toets en 'n ongoedgekeurde vee lyk van die bediener af dieselfde, behalwe vir omvang en tempo. Om opsies te stapel totdat die uitset verander, is hoe 'n metodeprobleem as 'n netwerkbevinding aangeteken word.

Wanneer die uitset gesluit sê, het iets met 'n herstelling geantwoord, en dit is 'n ander bevinding as stilte. Wanneer die uitset gefiltreer sê, het 'n toestel die peiling of sy antwoord laat val, en die VPN kan toevallig wees. Skryf die presiese bewoording neer, want 'n ontdekkingsfase-oordeel en 'n peilingsvlak-fout wys na verskillende lae.

As 'n bevoorregte modus werklik nodig is, besluit die platformeienaar of die bevoegdheid, rybewerker en koppelvlakreëling ondersteun word. Om dieselfde aanroep te verhef, verander nie sy metode nie.

Stop by die vervoerresultaat en toets dan die diens

'n Voltooide handdruk beantwoord een vraag oor een adres, poort, bron en oomblik. Dit bewys nie dat die backend gesond is nie, want 'n lasbalanseerder of vorentoe-proxy kan die verbinding aanvaar terwyl die toepassing daar agter af is.

Volg dit met die diens se eie kliënt sodat TLS-identiteit en toepassingsgedrag as afsonderlike feite waargeneem word:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Nog een gewoonte hou die resultaat nuttig. Skryf die presiese opdrag neer, die bronadres wat dit gebruik het en die tyd, want 'n vervoerresultaat sonder daardie konteks kan nie herhaal of vergelyk word nie.

As die sertifikaat 'n gasheer noem wat jy nie verwag het nie, het vervoer gewerk en was roetering nooit die probleem nie; die fout lê in virtuele gasheer of DNS. As die handdruk misluk, teken die plaaslike foutstring aan in plaas daarvan om oor die tonnel te veralgemeen. Hou die omvangsnota langs die resultaat, want die volgende persoon moet weet watter metode dit opgelewer het.