L’escaneig cru de Nmap falla per VPN, però la connexió -sT funciona?

Una pàgina es carrega pel túnel mentre un escaneig de ports informa que l’amfitrió està caigut, i el primer instint és que la VPN bloqueja alguna cosa. Normalment no bloqueja res de nou. Les dues proves demanen al sistema operatiu capacitats diferents, i només una necessita accés cru als paquets. Esbrina quina capacitat ha fallat abans de tocar el túnel.

Separa la capacitat del túnel

Una aplicació ordinària demana al nucli d’obrir una connexió TCP, i el nucli fa l’encaixada de mans sense privilegis especials. Un escaneig cru construeix els paquets ell mateix, cosa que requereix un sòcol cru o un controlador de captura segons la plataforma. Són qüestions de permisos i controladors, i existeixen tant si hi ha una VPN connectada com si no.

Aquesta distinció explica l’asimetria habitual. curl té èxit perquè el camí del sòcol funciona, mentre que l’escaneig SYN falla perquè el procés no pot obrir un sòcol cru a la interfície del túnel. També explica el cas invers, en què un escaneig cru informa de filtrat perquè el camí descarta la sonda mentre el camí de l’aplicació continua bé.

Cap dels dos resultats no descriu el servei remot. Tots dos descriuen un camí sota un mètode, així que mantén el mètode lligat a la conclusió.

Executa la comprovació de connexió en un sol amfitrió aprovat

Tria l’únic amfitrió que cobreix la teva tasca i després usa el mode que no necessita accés cru. L’objectiu d’exemple aquí és 198.51.100.24, espai de documentació reservat per a aquest tipus d’il·lustració.

Una línia, un amfitrió, un port, cap etapa de descobriment:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT selecciona una connexió TCP completa, així que exerceix el mateix camí del nucli que fa servir una aplicació i no necessita controlador de captura. -Pn omet el descobriment d’amfitrions; nmap encara fa resolució de capa d’enllaç per als objectius del segment local, així que l’opció no és una promesa de trànsit previ zero. --unprivileged diu a nmap que assumeixi que no té drets crus ni d’escolta, cosa que canvia el mètode i no concedeix res.

Llegeix cada opció com un canvi, no com una reparació

Tracta cada opció com una afirmació sobre el mètode. Cap de -sT, -Pn ni --unprivileged afegeix una ruta, obre un tallafoc remot ni valida un certificat. Un escaneig de connexió també completa una encaixada de mans real que el servei registra, així que una comprovació aprovada i una escombrada no aprovada semblen iguals des del servidor tret de l’abast i el ritme. Acumular opcions fins que la sortida canvia és com un problema de mètode s’enregistra com una troballa de xarxa.

Quan la sortida diu tancat, alguna cosa ha respost amb un reinici, i això és una troballa diferent del silenci. Quan la sortida diu filtrat, un dispositiu ha descartat la sonda o la seva resposta, i la VPN pot ser irrellevant. Anota la formulació exacta, perquè un veredicte de l’etapa de descobriment i una fallada a nivell de sonda assenyalen capes diferents.

Si un mode privilegiat és realment necessari, el propietari de la plataforma decideix si el privilegi, el controlador i la disposició d’interfícies són compatibles. Elevar la mateixa invocació no canvia el seu mètode.

Atura’t al resultat del transport i després prova el servei

Una encaixada de mans completada respon una pregunta sobre una adreça, port, origen i moment. No demostra que el backend estigui sa, perquè un balancejador de càrrega o un proxy directe pot acceptar la connexió mentre l’aplicació que hi ha darrere està caiguda.

Segueix-ho amb el client propi del servei perquè la identitat TLS i el comportament de l’aplicació s’observin com a fets separats:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Un costum més manté útil el resultat. Anota l’ordre exacta, l’adreça d’origen que ha fet servir i l’hora, perquè un resultat de transport sense aquest context no es pot reproduir ni comparar.

Si el certificat anomena un amfitrió que no esperaves, el transport ha funcionat i l’encaminament no era mai el problema; la fallada és a l’allotjament virtual o al DNS. Si l’encaixada de mans falla, registra la cadena d’error local en lloc de generalitzar sobre el túnel. Mantén la nota d’abast al costat del resultat, perquè la propera persona ha de saber quin mètode l’ha produït.