Nmap ukazuje přes VPN jiné výsledky? Zafixujte cíl
Název hostitele se po navázání tunelu může přeložit na jinou adresu. Držte číselný cíl pevně, než ze změněných stavů portů cokoli vyvodíte.
Dvě skenování portů stejného webu se mohou rozejít, protože se název mezi běhy přeložil na jinou adresu, ne protože tunel změnil, co cíl odhaluje. Název hostitele je pokyn k vyhledání a Nmap ho při skenování následuje. Když resolver odpoví jiným záznamem, druhé skenování změřilo jiný stroj.
Zafixujte číselnou adresu a srovnání znovu dostane smysl. Všechno ostatní ve zprávě, od časování po mezilehlá zařízení, zůstává samostatnou proměnnou, která potřebuje vlastní kontrolu.
Dva experimenty, které ve zprávě vypadají stejně
Porovnejte název s ním samým a změnili jste najednou alespoň dvě věci: cestu, kterou vaše pakety jdou, a cíl, který resolver vrátil. Rozdíl na výstupu nelze připsat ani jedné z nich. Tahle nejednoznačnost je obvyklý důvod, proč se skenování před a po zvrhne v hádku, kterou nikdo nedokáže uzavřít.
Porovnejte adresu s ní samou a cíl je pevný už konstrukcí. Co se ještě liší, patří cestě, zdrojové adrese, filtrování mezi nimi nebo vlastnímu stavu stroje. Odstranili jste jednu proměnnou, což není totéž jako odstranit všechny.
Než z tabulky portů vyvodíte jakýkoli závěr, zapište, který z těch dvou experimentů jste vlastně provedli. Rozdíl zní akademicky, dokud zpráva neřekne, že VPN zablokovala port, který nikdy nebyl otevřený na adrese, kterou jste zasáhli podruhé.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Nejdřív přeložte, potom skenujte zaznamenanou adresu
Oddělte překlad od sondování, aby oba fakty skončily na různých místech. Zeptejte se systému, co přeložil, odpověď uložte a pak dejte Nmapu doslovnou adresu. Zopakujte stejné dva příkazy s tunelem dole i nahoře.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
Příznak -Pn je tady důležitý, protože hostitel, který ignoruje objevovací sondy, by byl jinak nahlášen jako nedostupný a prázdný výsledek by se chybně přečetl jako zavřený port. -sV používejte jen proti cílům, které operátor schválil; sondování verzí je hlučnější než holé připojení a patří do písemného rozsahu.
Nmapí reference specifikace cílů výslovně říká, že se název hostitele před skenováním přeloží na adresu a že při více vrácených adresách nástroj skenuje první, pokud si nevyžádáte všechny. Nic v tomto chování není specifické pro VPN. Rozdělený DNS, jiný resolver nebo balancér zátěže odpovídající v novém pořadí dají stejný efekt bez jakéhokoli tunelu.
Uchovejte přeloženou hodnotu vedle výstupu skenování, s rodinou adres, sadou příznaků a časovým razítkem. Reverzní vyhledání, které vrátí název firmy, je další pozorování, ne důkaz, který backend odpověděl.
Co vám změněný stav portu může a nemůže říct
Jakmile je cíl zafixovaný, port, který přechází z otevřeného na filtrovaný, obvykle ukazuje na cestu. Pomyslete na ACL výš po cestě, stavový firewall nebo poskytovatele, který zachází s výstupem tunelu jinak než s domácím výstupem. Zužte to testováním druhé schválené adresy ve stejné podsíti, když to rozsah dovolí, protože výměna názvu hostitele by vrátila otázku resolveru. Jedna proměnná na běh je celá metoda.
Port, který zůstává otevřený, zatímco se mění banner služby, je jiný příběh. Ten vzorec odpovídá front-endu, který rozděluje spojení mezi backendy, a žádné množství skenování z vaší strany nájemce za ním nepojmenuje.
Co skenování nikdy neřekne, je úmysl. Filtrovaný port je výsledek politiky, ne důkaz, že někdo vyčlenil váš tunel, a otevřený port není důkaz, že aplikace za ním vám bude sloužit. Propojte to s logy komponenty, kterou provozujete, než napíšete kterýkoli z těch dvou příběhů.
Zaznamenávejte výsledky, aby srovnání přežilo kontrolu
Užitečný záznam obsahuje požadovaný název, přeloženou adresu a její rodinu, přesné příznaky, používanou zdrojovou adresu a oprávnění, které cíl pokrývalo. Přidejte čas, protože odpovědi DNS rotují a zpráva bez časových razítek zve stejnou hádku dvakrát. Přidejte i verzi skeneru, protože výchozí chování sond se mezi vydáními posouvá. Pokud dva běhy použily různé metody, berte je jako různé experimenty a řekněte to v nadpisu, ne v poznámce pod čarou.
Označte nález tím, čím je: jiné cíle, jiné zdrojové cesty nebo rozdíl, který stále není vysvětlený. Ten slovník drží zprávu ze skenování poctivou a brání tomu, aby se odpověď resolveru znovu publikovala jako událost zachycení VPN. Dalším krokem je obvykle jeden další běh se zafixovanou adresou, ne širší skenování.