Nmap pokazuje različite rezultate preko VPN-a? Fiksirajte cilj
Ime hosta može se razriješiti u drugu adresu nakon što se tunel podigne. Držite numerički cilj fiksnim prije nego što bilo šta zaključite iz promijenjenih stanja portova.
Dva skeniranja portova istog web sjedišta mogu se razlikovati jer se ime između pokretanja razriješilo u drugu adresu, a ne zato što je tunel promijenio šta cilj izlaže. Ime hosta je uputa za pretragu i Nmap je slijedi u vrijeme skeniranja. Kada resolver odgovori drugim zapisom, drugo skeniranje izmjerilo je drugu mašinu.
Fiksirajte numeričku adresu i poređenje ponovo dobija smisao. Sve ostalo u izvještaju, od mjerenja vremena do međuuređaja, ostaje zasebna varijabla koja traži vlastitu kontrolu.
Dva eksperimenta koja u izvještaju izgledaju isto
Uporedite ime sa njim samim i promijenili ste najmanje dvije stvari odjednom: putanju kojom idu vaši paketi i odredište koje je resolver vratio. Razlika u izlazu ne može se pripisati ni jednom od njih. Ta dvosmislenost je uobičajen razlog zašto se skeniranje prije i poslije pretvori u raspravu koju niko ne može riješiti.
Uporedite adresu sa njom samom i odredište je fiksirano po konstrukciji. Sve što se još razlikuje pripada putanji, izvornoj adresi, filtriranju između ili vlastitom stanju mašine. Uklonili ste jednu varijablu, što nije isto kao ukloniti sve.
Zapišite koji ste od ta dva eksperimenta zaista izveli prije nego što izvedete bilo kakav zaključak iz tabele portova. Razlika zvuči akademski dok izvještaj ne kaže da je VPN blokirao port koji nikada nije bio otvoren na adresi koju ste pogodili drugi put.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Prvo razriješite, zatim skenirajte zabilježenu adresu
Odvojite razrješavanje od sondiranja da dva nalaza završe na različitim mjestima. Pitajte sistem šta je razriješio, sačuvajte taj odgovor, pa dajte Nmapu doslovnu adresu. Ponovite iste dvije komande sa spuštenim i podignutim tunelom.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
Zastavica -Pn ovdje je važna jer bi host koji ignorira probe otkrivanja inače bio prijavljen kao nedostupan i prazan rezultat bi se pogrešno pročitao kao zatvoren port. Koristite -sV samo protiv odredišta koja je operator odobrio; sondiranje verzija je glasnije od golog povezivanja i pripada u pisani obim.
Nmapova referenca za specifikaciju cilja izričita je da se ime hosta razrješava u adresu prije skeniranja i da alat skenira prvu kada se vrati više adresa, osim ako ne zatražite sve. Ništa u tom ponašanju nije specifično za VPN. Split-horizon DNS, drugi resolver ili balanser opterećenja koji odgovara u novom redu daju isti efekat bez ikakvog tunela.
Držite razriješenu vrijednost uz izlaz skeniranja, sa porodicom adresa, skupom zastavica i vremenskom oznakom. Obrnuta pretraga koja vrati naziv kompanije još je jedno zapažanje, ne dokaz koji je backend odgovorio.
Šta vam promijenjeno stanje porta može i ne može reći
Kada je odredište fiksirano, port koji pređe iz otvorenog u filtrirano obično ukazuje na putanju. Pomislite na ACL uzvodno, stateful firewall ili provajdera koji tretira izlaz tunela drugačije od kućnog izlaza. Suzite testiranjem druge odobrene adrese u istoj podmreži kada obim dozvoljava, jer bi zamjena imena hosta ponovo uvela pitanje resolvera. Jedna varijabla po pokretanju je cijela metoda.
Port koji ostaje otvoren dok se banner usluge mijenja druga je priča. Taj obrazac odgovara frontendu koji raspoređuje veze po backendima, i nijedna količina skeniranja s vaše strane neće imenovati zakupca iza njega.
Ono što skeniranje nikada ne kaže jeste namjera. Filtriran port je ishod politike, ne dokaz da je neko izdvojio vaš tunel, a otvoren port nije dokaz da će vas aplikacija iza njega poslužiti. Povežite s logovima komponente koju vodite prije nego što napišete bilo koju od dvije priče.
Bilježite rezultate da poređenje preživi pregled
Koristan zapis sadrži traženo ime, razriješenu adresu i njenu porodicu, tačne zastavice, izvornu adresu u upotrebi i odobrenje koje je pokrivalo odredište. Dodajte vrijeme, jer se DNS odgovori rotiraju i izvještaj bez vremenskih oznaka dvaput poziva istu raspravu. Dodajte i verziju skenera, jer se zadano ponašanje sondiranja pomjera između izdanja. Ako su dva pokretanja koristila različite metode, tretirajte ih kao različite eksperimente i recite to u naslovu, a ne u fusnoti.
Označite nalaz onim što jeste: različita odredišta, različite izvorne putanje ili razlika koja još nije objašnjena. Taj rječnik drži izvještaj skeniranja iskrenim i sprječava da se odgovor resolvera ponovo objavi kao događaj presretanja VPN-a. Sljedeći korak je obično još jedno pokretanje s fiksiranom adresom, a ne šire skeniranje.