Un escaneig de ports no pot dir qui accepta l'inici de sessió

Tres preguntes es confonen quan algú agita un escaneig de ports davant d'un problema de VPN: si alguna cosa és abastable, si és el servei que us penseu i si acceptarà la vostra identitat. L'escàner respon la primera i assenyala vagament la segona. La tercera no la pot respondre de cap manera, perquè acceptar una credencial no és el que fa una sonda de transport. Decidiu quina pregunta feu abans de llegir la sortida.

L'eina no és incorrecta; respon una pregunta més estreta que la que hi ha sobre la taula.

Un sòcol obert és un fet sobre un sòcol

Una connexió TCP correcta vol dir que alguna cosa ha acceptat aquell extrem. No estableix que l'oient sigui el servei VPN previst, que el certificat presentat coincideixi amb el nom que espereu, ni que la verificació TLS passi. Una pàgina d'administració de passarel·la al mateix nom d'amfitrió és un servei completament diferent i no demostra res sobre el túnel. Tracteu el resultat com un fet d'abastabilitat i res més.

On la sonda sí que ajuda és a descartar coses. Si res no accepta la connexió des d'on sou, l'encaixada no pot reeixir, i això estreny la cerca a l'abastabilitat abans que res més.

El silenci d'UDP té diverses explicacions

Els protocols UDP poden ignorar legítimament els paquets que no estan autenticats, de manera que l'absència de resposta no és un veredicte. Pot significar filtratge al camí, un extrem tancat o un servei que calla deliberadament fins que rep alguna cosa vàlida. Llegir el silenci com un port tancat envia la gent a les regles del tallafoc quan la falla real és al perfil. Repetiu la sonda des d'una altra xarxa abans de treure cap conclusió.

L'ambigüitat és una propietat del protocol, no una mancança de l'eina. Digueu-ho clarament quan informeu el resultat, perquè una resposta equivocada i segura és pitjor que una de correcta i incerta.

La decisió de confiança continua sent vostra

Un port obert no pren la decisió de confiança, així que el resultat d'un escàner no és motiu per desactivar les comprovacions de certificats. Aquesta verificació existeix per respondre si heu arribat al parell que volíeu, i un escàner no ho ha respost. Feu servir el perfil i el client reals de l'operador per a la identitat i l'autenticació, i després deixeu la configuració de verificació exactament com era.

Si l'escaneig diu obert i l'encaixada falla, la part interessant de la falla és a l'encaixada, no a l'escaneig.

Proveu l'intercanvi, després la ruta

Quan l'autenticació reïx, inspeccioneu les etapes següents per separat: associació de dades, rutes instal·lades i accés d'aplicacions. Cadascuna pot fallar mentre l'anterior semblava sana, i cadascuna té la seva pròpia evidència. Correlacionar els registres del client i de l'oient amb captures estretes o comptadors dóna un diagnòstic de camí que l'escaneig repetit mai no donarà. Manteniu el perfil i l'extrem fixos en comparar xarxes i anoteu on s'atura la negociació.

Mantingueu també l'abast del diagnòstic autoritzat. Sondar sistemes que no posseïu no és una tècnica de resolució de problemes, digui el que digui l'eina sobre el resultat.

L'escaneig respon l'abastabilitat. L'autenticació necessita una credencial i la ruta necessita un paquet. Un escàner pot informar d'un port obert mentre el servei rebutja cada inici de sessió, i pot informar d'un port tancat mentre una sessió vàlida funciona des d'una altra xarxa. Tracteu el resultat com una observació sobre un camí i després proveu la credencial i la ruta de tornada per separat.