Nmap показва различни резултати през VPN? Закрепете целта
Едно име на хост може да се резолвне към друг адрес, след като тунелът е вдигнат. Задръжте числовата цел фиксирана, преди да правите изводи от променени състояния на портове.
Две сканирания на портове на един и същ сайт могат да се разминат, защото името между пусканията се е резолвнало към друг адрес, а не защото тунелът е променил какво излага целта. Името на хост е инструкция за търсене и Nmap я следва по време на сканирането. Когато резолверът отговори с друг запис, второто сканиране е измерило друга машина.
Закрепете числовия адрес и сравнението отново придобива смисъл. Всичко останало в доклада, от времето до междинните устройства, остава отделна променлива, която изисква собствен контрол.
Два експеримента, които изглеждат еднакво в доклад
Сравнете име със самото него и сте променили поне две неща наведнъж: пътя, по който минават пакетите ви, и дестинацията, която резолверът е върнал. Разлика в изхода не може да се припише на нито едно от двете. Тази двусмисленост е обичайната причина сканиране преди и след да се превърне в спор, който никой не може да реши.
Сравнете адрес със самия него и дестинацията е фиксирана по построение. Всичко, което все още се различава, принадлежи на пътя, на адреса на източника, на филтрирането помежду им или на собственото състояние на машината. Премахнали сте една променлива, което не е същото като да премахнете всички.
Запишете кой от тези два експеримента всъщност сте провели, преди да правите какъвто и да е извод от таблица на портове. Разграничението звучи академично, докато доклад не каже, че VPN е блокирал порт, който никога не е бил отворен на адреса, който сте уцелили втория път.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Първо резолвнете, после сканирайте записания адрес
Разделете резолвването от сондирането, за да попаднат двата факта на различни места. Попитайте системата какво е резолвнала, запазете отговора, после дайте на Nmap буквалния адрес. Повторете същите две команди с паднал и с вдигнат тунел.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
Флагът -Pn тук е важен, защото хост, който игнорира сондите за откриване, иначе ще бъде докладван като недостъпен и празният резултат ще се прочете като затворен порт. Използвайте -sV само срещу дестинации, които операторът е одобрил; сондирането на версии е по-шумно от голо свързване и принадлежи в писмения обхват.
Справката за спецификация на цели на Nmap е категорична, че името на хост се резолвва към адрес преди сканиране и че когато се върнат няколко адреса, инструментът сканира първия, освен ако не поискате всички. Нищо в това поведение не е специфично за VPN. Разделен DNS, различен резолвер или балансиращ товара, който отговаря в нов ред, дават същия ефект без никакъв тунел.
Пазете резолвнатата стойност до изхода от сканирането, заедно със семейството на адреса, набора от флагове и времева марка. Обратното търсене, което връща име на компания, е друго наблюдение, а не доказателство кой бекенд е отговорил.
Какво може и какво не може да ви каже промененото състояние на порт
След като дестинацията е фиксирана, порт, който преминава от отворен към филтриран, обикновено сочи към пътя. Помислете за ACL по-горе по веригата, файеруол със състояние или доставчик, който третира изходящия трафик на тунела различно от домашния. Стеснете го, като тествате втори одобрен адрес в същата подмрежа, когато обхватът позволява, защото смяната на името на хоста би върнала въпроса за резолвера. Една променлива на пускане е целият метод.
Порт, който остава отворен, докато банерът на услугата се променя, е друга история. Този модел пасва на фронтенд, който разпределя връзки между бекендове, и никакво сканиране от ваша страна няма да назове наемателя зад него.
Това, което сканирането никога не казва, е намерение. Филтриран порт е резултат от политика, а не доказателство, че някой е избрал вашия тунел, а отворен порт не е доказателство, че приложението зад него ще ви обслужи. Свържете с журналите на компонента, който управлявате, преди да напишете която и да е от двете истории.
Записвайте резултатите, за да оцелее сравнението при преглед
Полезен запис съдържа поисканото име, резолвнатия адрес и неговото семейство, точните флагове, използвания адрес на източника и разрешението, което е покривало дестинацията. Добавете времето, защото отговорите на DNS се въртят и доклад без времеви марки кани същия спор два пъти. Добавете и версията на скенера, защото поведението на сондиране по подразбиране се измества между изданията. Ако две пускания са използвали различни методи, третирайте ги като различни експерименти и го кажете в заглавието, а не в бележката под линия.
Обозначете находката с каквото е: различни дестинации, различни пътища на източника или разлика, която още не е обяснена. Този речник пази доклада от сканиране честен и спира отговор на резолвер да бъде публикуван отново като събитие за прихващане на VPN. Следващата стъпка обикновено е още едно пускане с фиксиран адрес, а не по-широко сканиране.