Nmap mostra resultats diferents a través d'una VPN? Fixa l'objectiu
Un nom d'amfitrió pot resoldre's a una altra adreça quan el túnel està actiu. Mantén l'objectiu numèric fix abans de treure conclusions dels estats de port canviats.
Dos escanejos de ports del mateix lloc web poden discrepar perquè el nom s'ha resolt a una altra adreça entre les execucions, no perquè el túnel hagi canviat què exposa l'objectiu. Un nom d'amfitrió és una instrucció de cerca, i Nmap la segueix en el moment de l'escaneig. Quan el resolutor respon amb un altre registre, el segon escaneig ha mesurat una altra màquina.
Fixa l'adreça numèrica i la comparació torna a tenir sentit. Tota la resta de l'informe, des dels temps fins als dispositius intermedis, continua sent una variable separada que necessita el seu propi control.
Dos experiments que semblen idèntics en un informe
Compara un nom amb si mateix i has canviat almenys dues coses alhora: el camí que fan els teus paquets i la destinació que ha retornat el resolutor. Una diferència a la sortida no es pot atribuir a cap de les dues. Aquesta ambigüitat és la raó habitual per la qual un escaneig d'abans i després es converteix en una discussió que ningú no pot tancar.
Compara una adreça amb si mateixa i la destinació queda fixada per construcció. Tot el que encara difereix pertany al camí, a l'adreça d'origen, al filtratge entremig o a l'estat propi de la màquina. Has eliminat una variable, cosa que no és el mateix que eliminar-les totes.
Anota quin d'aquests dos experiments has executat realment abans de treure cap conclusió d'una taula de ports. La distinció sona acadèmica fins que un informe diu que la VPN ha bloquejat un port que mai no era obert a l'adreça que vas tocar el segon cop.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Resol primer, després escaneja l'adreça que has registrat
Separa la resolució del sondeig perquè els dos fets acabin en llocs diferents. Pregunta al sistema què ha resolt, desa aquesta resposta i després dona a Nmap l'adreça literal. Repeteix les mateixes dues ordres amb el túnel baixat i pujat.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
El flag -Pn importa aquí, perquè un amfitrió que ignora les sondes de descoberta seria reportat com a caigut i el resultat buit es llegiria malament com un port tancat. Fes servir -sV només contra destinacions que l'operador hagi aprovat; el sondeig de versions fa més soroll que una connexió simple i pertany a l'abast escrit.
La referència d'especificació d'objectius de Nmap diu explícitament que un nom d'amfitrió es resol a una adreça abans de l'escaneig i que, quan tornen diverses adreces, l'eina escaneja la primera tret que les demanis totes. Res d'aquest comportament és específic de la VPN. Un DNS dividit, un resolutor diferent o un balancejador de càrrega que respon en un ordre nou produeixen el mateix efecte sense cap túnel.
Mantén el valor resolt al costat de la sortida de l'escaneig, amb la família d'adreces, el conjunt de flags i una marca de temps. Una cerca inversa que retorna el nom d'una empresa és una altra observació, no una prova de quin backend ha respost.
Què et pot dir i què no un estat de port canviat
Un cop fixada la destinació, un port que passa d'obert a filtrat normalment assenyala el camí. Pensa en una ACL aigües amunt, un tallafoc amb estat o un proveïdor que tracta la sortida del túnel de manera diferent de la sortida residencial. Estreny provant una segona adreça aprovada a la mateixa subxarxa quan l'abast ho permet, perquè canviar el nom d'amfitrió reintroduiria la pregunta del resolutor. Una variable per execució és tot el mètode.
Un port que continua obert mentre canvia el banner del servei és una altra història. Aquest patró encaixa amb un front-end que distribueix connexions entre backends, i cap quantitat d'escaneig des del teu costat no nomenarà l'inquilí que hi ha darrere.
El que l'escaneig mai no diu és la intenció. Un port filtrat és un resultat de política, no una prova que algú hagi assenyalat el teu túnel, i un port obert no és una prova que l'aplicació del darrere et servirà. Correlaciona amb els registres del component que operes abans d'escriure qualsevol de les dues històries.
Registra els resultats perquè la comparació sobrevisqui a la revisió
Un registre útil conté el nom sol·licitat, l'adreça resolta i la seva família, els flags exactes, l'adreça d'origen en ús i l'autorització que cobria la destinació. Afegeix-hi l'hora, perquè les respostes DNS roten i un informe sense marques de temps convida la mateixa discussió dues vegades. Afegeix-hi també la versió de l'escàner, perquè el comportament de sondeig per defecte es desplaça entre versions. Si dues execucions van fer servir mètodes diferents, tracta-les com a experiments diferents i digues-ho a l'encapçalament, no a la nota al peu.
Etiqueta la troballa pel que és: destinacions diferents, camins d'origen diferents o una diferència encara no explicada. Aquest vocabulari manté honest un informe d'escaneig i evita que una resposta del resolutor es torni a publicar com un esdeveniment d'intercepció de VPN. El següent pas sol ser una altra execució amb l'adreça fixada, no un escaneig més ampli.