Nmap wys verskillende resultate deur 'n VPN? Pen die teiken vas
'n Hostnaam kan na 'n ander adres oplos sodra die tonnel op is. Hou die numeriese teiken vas voordat jy enigiets in veranderde poorttoestande inlees.
Twee poortskanderings van dieselfde webwerf kan verskil omdat die naam tussen lopies na 'n ander adres opgelos het, nie omdat die tonnel verander het wat die teiken blootstel nie. 'n Hostnaam is 'n opsoekinstruksie, en Nmap volg dit tydens die skandering. Wanneer die oplosser met 'n ander rekord antwoord, het die tweede skandering 'n ander masjien gemeet.
Pen die numeriese adres vas, en die vergelyking word weer betekenisvol. Alles anders in die verslag, van tydsberekening tot middelmure, bly 'n afsonderlike veranderlike wat sy eie kontrole nodig het.
Twee eksperimente wat in 'n verslag identies lyk
Vergelyk 'n naam met homself, en jy het ten minste twee dinge gelyk verander: die pad wat jou pakkette volg en die bestemming wat die oplosser teruggegee het. 'n Verskil in die uitset kan nie aan een van die twee toegeskryf word nie. Daardie dubbelsinnigheid is die gewone rede waarom 'n voor-en-na-skandering in 'n argument ontaard wat niemand kan besleg nie.
Vergelyk 'n adres met homself, en die bestemming is per konstruksie vas. Wat steeds verskil, hoort by die pad, die bronadres, die filtering tussenin of die masjien se eie toestand. Jy het een veranderlike verwyder, wat nie dieselfde is as om almal te verwyder nie.
Skryf neer watter van daardie twee eksperimente jy werklik uitgevoer het voordat jy enige gevolgtrekking uit 'n poorttabel maak. Die onderskeid klink akademies totdat 'n verslag sê die VPN het 'n poort geblokkeer wat nooit oop was op die adres wat jy die tweede keer getref het nie.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Los eers op, skandeer dan die adres wat jy aangeteken het
Skei oplossing van ondersoek sodat die twee feite op verskillende plekke beland. Vra die stelsel wat dit opgelos het, bewaar daardie antwoord en gee dan die letterlike adres aan Nmap. Herhaal dieselfde twee opdragte met die tonnel af en op.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
Die vlag -Pn maak hier saak, want 'n gasheer wat ontdekkingspeilings ignoreer, sou anders as af gerapporteer word en die leë resultaat as 'n geslote poort verkeerd gelees word. Gebruik -sV net teen bestemmings wat die operateur goedgekeur het; weergawepeiling is harder as 'n blote verbinding en hoort binne die geskrewe omvang.
Nmap se verwysing vir teikenspesifikasie is duidelik dat 'n hostnaam voor die skandering na 'n adres opgelos word, en dat die gereedskap die eerste een skandeer wanneer verskeie adresse terugkom, tensy jy almal vra. Niks in daardie gedrag is VPN-spesifiek nie. Split-horizon-DNS, 'n ander oplosser of 'n lasbalanseerder wat in 'n nuwe volgorde antwoord, lewer dieselfde effek sonder enige tonnel.
Hou die opgeloste waarde langs die skanderingsuitset, met die adresfamilie, die vlagstel en 'n tydstempel. 'n Omgekeerde opsoek wat 'n maatskappynaam teruggee, is nog 'n waarneming, nie bewys van watter backend geantwoord het nie.
Wat 'n veranderde poorttoestand jou wel en nie kan sê nie
Sodra die bestemming vasgepen is, wys 'n poort wat van oop na gefiltreer flikker gewoonlik na die pad. Dink aan 'n opstroom-ACL, 'n toestandvolle firewall of 'n verskaffer wat tonneluitgang anders as residensiële uitgang behandel. Vernou dit deur 'n tweede goedgekeurde adres in dieselfde subnet te toets wanneer die omvang dit toelaat, want om die hostnaam te ruil sou die oplosservraag weer invoer. Een veranderlike per lopie is die hele metode.
'n Poort wat oop bly terwyl die diensbanier verander, is 'n ander storie. Daardie patroon pas by 'n frontent wat verbindings oor backends versprei, en geen hoeveelheid skandering van jou kant sal die huurder agter dit noem nie.
Wat die skandering nooit sê nie, is bedoeling. 'n Gefiltreerde poort is 'n beleidsuitkoms, nie bewyse dat iemand jou tonnel uitgesonder het nie, en 'n oop poort is nie bewyse dat die toepassing agter dit jou sal bedien nie. Korreleer met logs op die komponent wat jy bedryf voordat jy enige van die twee stories skryf.
Teken resultate aan sodat die vergelyking hersiening oorleef
'n Nuttige rekord bevat die versoekte naam, die opgeloste adres en sy familie, die presiese vlae, die bronadres in gebruik en die magtiging wat die bestemming gedek het. Voeg die tyd by, want DNS-antwoorde roteer en 'n verslag sonder tydstempels nooi dieselfde argument twee keer uit. Voeg ook die skandeerderweergawe by, want verstekpeilingsgedrag verskuif tussen vrystellings. As twee lopies verskillende metodes gebruik het, behandel hulle as verskillende eksperimente en sê so in die opskrif eerder as in die voetnoot.
Benoem die bevinding vir wat dit is: verskillende bestemmings, verskillende bronpaaie of 'n verskil wat steeds onverklaar is. Daardie woordeskat hou 'n skanderingsverslag eerlik, en dit keer dat 'n oplosserantwoord weer as 'n VPN-onderskeppingsgebeurtenis gepubliseer word. Die volgende stap is gewoonlik nog een lopie met die adres vasgepen, nie 'n breër skandering nie.