Nmap паказвае розныя вынікі праз VPN? Замацуйце мэту
Імя хоста можа развязацца ў іншы адрас пасля ўзняцця тунеля. Трымайце лікавую мэту нерухомай, перш чым рабіць высновы са змены станаў портаў.
Дзве праверкі портаў аднаго сайта могуць разыходзіцца, бо імя паміж запускамі развязалася ў іншы адрас, а не таму, што тунель змяніў тое, што паказвае мэта. Імя хоста — гэта інструкцыя пошуку, і Nmap выконвае яе падчас сканавання. Калі распазнавальнік вяртае іншы запіс, другое сканаванне вымерала іншую машыну.
Замацуйце лікавы адрас, і параўнанне зноў набывае сэнс. Усё астатняе ў справаздачы, ад часу да прамежкавых прылад, застаецца асобнай зменнай, якая патрабуе ўласнага кантролю.
Два эксперыменты, якія выглядаюць аднолькава ў справаздачы
Параўнайце імя з ім самім — і вы змянілі як мінімум дзве рэчы адначасова: шлях, які праходзяць вашыя пакеты, і прызначэнне, якое вярнуў распазнавальнік. Розніцу ў выніку нельга аднесці ні да аднаго з іх. Гэтая неадназначнасць — звычайная прычына таго, што сканаванне да і пасля ператвараецца ў спрэчку, якую ніхто не можа вырашыць.
Параўнайце адрас з ім самім — і прызначэнне фіксаванае па сваёй пабудове. Усё, што ўсё яшчэ адрозніваецца, належыць шляху, адрасу крыніцы, фільтраванню паміж імі або ўласнаму стану машыны. Вы прыбралі адну зменную, што не тое самае, што прыбраць усе.
Запішыце, які з гэтых двух эксперыментаў вы насамрэч правялі, перш чым рабіць любую выснову з табліцы портаў. Гэтае размежаванне здаецца акадэмічным, пакуль справаздача не скажа, што VPN заблакаваў порт, які ніколі не быў адкрыты на адрасе, куды вы трапілі другі раз.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Спачатку развяжыце імя, потым сканавайце запісаны адрас
Аддзяліце развязанне ад зандвання, каб два факты апынуліся ў розных месцах. Спытайце сістэму, што яна развязала, захавайце гэты адказ, затым перадайце Nmap літаральны адрас. Паўтарыце тыя ж дзве каманды з апушчаным і ўзнятым тунелем.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
Сцяг -Pn тут важны, бо хост, які ігнаруе зандванні выяўлення, інакш быў бы паведамлены як недаступны, а пусты вынік прачытаны як зачынены порт. Выкарыстоўвайце -sV толькі супраць мэт, якія ўхваліў аператар; зандванне версій гучнейшае за простае злучэнне і належыць да пісьмовай прасторы.
Даведнік па спецыфікацыі мэт Nmap ясна кажа, што імя хоста развязваецца ў адрас перад сканаваннем і што пры некалькіх адрасах прылада сканае першы, калі не папрасіць усе. Нішто ў гэтых паводзінах не спецыфічна для VPN. Раздвоены DNS, іншы распазнавальнік або балансіроўшчык нагрузкі, які адказвае ў новым парадку, даюць той жа эфект без удзелу тунеля.
Трымайце развязанае значэнне побач з вынікам сканавання, разам з сямействам адрасоў, наборам сцягоў і адзнакай часу. Зваротны пошук, які вяртае назву кампаніі, — яшчэ адно назіранне, а не доказ таго, які бэкенд адказаў.
Што зменены стан порта можа і не можа вам сказаць
Калі прызначэнне замацаванае, порт, які пераходзіць з адкрытага ў адфільтраваны, звычайна ўказвае на шлях. Уявіце вышэйшы ACL, фаервол з адсочваннем стану або правайдэра, які абыходзіцца з выхадам тунеля інакш, чым з хатнім выхадам. Звужвайце, правяраючы другі ўхвалены адрас у той жа падсетцы, калі прастора дазваляе, бо замена імя хоста зноў увяла б пытанне распазнавальніка. Адна зменная на запуск — увесь метад.
Порт, які застаецца адкрытым, пакуль банер службы змяняецца, — іншая гісторыя. Гэты ўзор адпавядае франтэнду, які размеркаваў злучэнні па бэкендах, і ніякая колькасць сканавання з вашага боку не назаве арандатара за ім.
Чаго сканаванне ніколі не кажа — гэта намер. Адфільтраваны порт — вынік палітыкі, а не доказ таго, што нехта вылучыў ваш тунель, а адкрыты порт — не доказ таго, што праграма за ім будзе вас абслугоўваць. Суаднясіце з журналамі кампанента, які вы эксплуатуеце, перш чым пісаць любую з дзвюх гісторый.
Запісвайце вынікі, каб параўнанне вытрымала разгляд
Карысны запіс утрымлівае запытанае імя, развязаны адрас і яго сямейства, дакладныя сцягі, адрас крыніцы ў выкарыстанні і дазвол, які пакрываў прызначэнне. Дадайце час, бо адказы DNS круцяцца, а справаздача без адзнак часу двойчы запрашае тую ж спрэчку. Дадайце таксама версію сканера, бо паводзіны зандвання па змаўчанні змяняюцца паміж выпускамі. Калі два запускі выкарысталі розныя метады, лічыце іх рознымі эксперыментамі і скажыце пра гэта ў загалоўку, а не ў зносцы.
Пазначце знаходку так, як яна ёсць: розныя прызначэнні, розныя шляхі крыніцы або розніца, якая ўсё яшчэ не растлумачана. Гэты слоўнік трымае справаздачу сканавання сумленнай і не дае адказу распазнавальніка зноў быць апублікаваным як падзея перахопу VPN. Наступны крок звычайна — яшчэ адзін запуск з замацаваным адрасам, а не шырэйшае сканаванне.