Суровото сканиране на Nmap се проваля през VPN, но -sT връзката работи?

Страница се зарежда през тунела, докато сканиране на портове съобщава, че хостът е недостъпен, и първият инстинкт е, че VPN блокира нещо. Обикновено той не блокира нищо ново. Двата теста искат от операционната система различни възможности и само един от тях се нуждае от суров достъп до пакети. Установете коя възможност е отказала, преди да пипнете тунела.

Отделете възможността от тунела

Обикновеното приложение иска от ядрото да отвори TCP връзка и ядрото извършва ръкостискането без специални права. Суровото сканиране строи пакетите само, което изисква суров сокет или драйвер за прихващане според платформата. Това са въпроси за разрешения и драйвери и те съществуват независимо дали VPN е свързан.

Това разграничение обяснява обичайната асиметрия. curl успява, защото пътят на сокета работи, докато SYN сканирането се проваля, защото процесът не може да отвори суров сокет на интерфейса на тунела. То обяснява и обратния случай, когато сурово сканиране съобщава филтрирано, защото пътят изхвърля сондата, а пътят на приложението остава добър.

Нито един от резултатите не описва отдалечената услуга. И двата описват един път при един метод, затова държете метода закачен към заключението.

Пуснете проверката на връзката на един одобрен хост

Изберете единствения хост, който задачата ви покрива, после използвайте режима, който не изисква суров достъп. Примерната цел тук е 198.51.100.24, документационно пространство, запазено за такова онагледяване.

Един ред, един хост, един порт, без етап на откриване:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT избира пълна TCP връзка, така че минава по същия път в ядрото, който ползва приложението, и не изисква драйвер за прихващане. -Pn пропуска откриването на хостове; nmap все още прави разрешаване на каналния слой за цели в локалния сегмент, така че флагът не е обещание за нулев предварителен трафик. --unprivileged казва на nmap да приеме, че няма сурови или подслушващи права, което променя метода и не дава нищо.

Четете всеки флаг като една промяна, а не като поправка

Приемайте всяка опция като твърдение за метода. Нито -sT, нито -Pn, нито --unprivileged добавя маршрут, отваря отдалечена защитна стена или валидира сертификат. Сканирането на връзка също завършва истинско ръкостискане, което услугата записва, така че одобрена проверка и неодобрено обхождане изглеждат от сървъра еднакво, освен по обхват и темпо. Натрупването на опции, докато изходът се промени, е начинът проблем с метода да се запише като мрежова находка.

Когато изходът казва затворено, нещо е отговорило с рестарт и това е различна находка от тишината. Когато изходът казва филтрирано, устройство е изхвърлило сондата или отговора ѝ и VPN може да е случаен. Запишете точната формулировка, защото присъдата на етапа на откриване и отказът на ниво сонда сочат към различни слоеве.

Ако привилегиран режим наистина е нужен, собственикът на платформата решава дали привилегията, драйверът и подредбата на интерфейсите се поддържат. Повишаването на същото извикване не променя метода му.

Спрете при транспортния резултат, после проверете услугата

Завършеното ръкостискане отговаря на един въпрос за един адрес, порт, източник и момент. То не доказва, че бекендът е здрав, защото балансиращ товара или преден прокси може да приеме връзката, докато приложението зад него не работи.

Продължете с родния клиент на услугата, за да се наблюдават идентичността по TLS и поведението на приложението като отделни факти:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Още един навик пази резултата полезен. Запишете точната команда, източния адрес, който е използвала, и времето, защото транспортен резултат без този контекст не може да се възпроизведе или сравни.

Ако сертификатът посочва хост, който не сте очаквали, транспортът е работил и маршрутизацията никога не е била проблемът; повредата е във виртуалния хостинг или DNS. Ако ръкостискането се провали, запишете локалния низ за грешка, вместо да обобщавате за тунела. Държете бележката за обхват до резултата, защото следващият човек трябва да знае кой метод го е произвел.