Mae sgan crai Nmap yn methu dros VPN ond mae cysylltiad -sT yn gweithio?

Mae tudalen yn llwytho drwy’r tiwnel tra bod sgan porth yn adrodd bod y gwesteiwr i lawr, a’r ymddygiad cyntaf yw bod y VPN yn rhwystro rhywbeth. Fel arfer nid yw’n rhwystro unrhyw beth newydd. Mae’r ddau brawf yn gofyn i’r system weithredu am alluoedd gwahanol, a dim ond un ohonynt sydd angen mynediad crai at becynnau. Darganfyddwch pa allu a fethodd cyn i chi gyffwrdd â’r tiwnel.

Gwahanwch yr allu oddi wrth y tiwnel

Mae rhaglen gyffredin yn gofyn i’r cnewyllyn agor cysylltiad TCP, ac mae’r cnewyllyn yn cyflawni’r ysgwyd llaw heb fraint arbennig. Mae sgan crai yn adeiladu pecynnau ei hun, sy’n gofyn am soced crai neu yrrwr dal yn dibynnu ar y platfform. Cwestiynau caniatâd ac yrrwr yw’r rhain, ac maent yn bodoli p’un a yw VPN wedi’i gysylltu ai peidio.

Mae’r gwahaniaeth hwn yn esbonio’r anghymesuredd cyffredin. Mae curl yn llwyddo oherwydd bod llwybr y soced yn gweithio, tra bod y sgan SYN yn methu oherwydd na all y broses agor soced crai ar ryngwyneb y tiwnel. Mae hefyd yn esbonio’r achos gwrthwyneb, lle mae sgan crai yn adrodd hidledig oherwydd bod y llwybr yn gollwng y prawf tra bod llwybr y rhaglen yn parhau’n iawn.

Nid yw’r naill ganlyniad na’r llall yn disgrifio’r gwasanaeth anghysbell. Mae’r ddau yn disgrifio un llwybr o dan un dull, felly cadwch y dull ynghlwm wrth y casgliad.

Rhedwch y prawf cysylltu ar un gwesteiwr cymeradwy

Dewiswch yr un gwesteiwr y mae eich tasg yn ei gwmpasu, yna defnyddiwch y modd nad oes angen mynediad crai arno. Y targed enghreifftiol yma yw 198.51.100.24, gofod dogfennu a gadwyd ar gyfer y math hwn o ddarlun.

Un llinell, un gwesteiwr, un porth, dim cam darganfod:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

Mae -sT yn dewis cysylltiad TCP llawn, felly mae’n arfer yr un llwybr cnewyllyn ag y mae rhaglen yn ei ddefnyddio ac nid oes angen yrrwr dal arno. Mae -Pn yn hepgor darganfod gwesteiwyr; mae nmap yn dal i wneud datrysiad haen gyswllt ar gyfer targedau ar y segment lleol, felly nid yw’r faner yn addewid o draffig rhagarweiniol sero. Mae --unprivileged yn dweud wrth nmap i dybio nad oes ganddo hawliau crai na chlustfeinio, sy’n newid y dull ac yn rhoi dim.

Darllenwch bob baner fel un newid, nid fel atgyweiriad

Triniwch bob opsiwn fel datganiad am ddull. Nid yw -sT, -Pn nac --unprivileged yn ychwanegu llwybr, yn agor mur tân anghysbell nac yn dilysu tystysgrif. Mae sgan cysylltu hefyd yn cwblhau ysgwyd llaw go iawn y mae’r gwasanaeth yn ei gofnodi, felly mae prawf cymeradwy a chrwydrad heb ei gymeradwyo yn edrych yr un fath o’r gweinydd heblaw am gwmpas a chyflymder. Pentyrru opsiynau nes bod yr allbwn yn newid yw’r ffordd y cofnodir problem dull fel canfyddiad rhwydwaith.

Pan fydd yr allbwn yn dweud caeedig, mae rhywbeth wedi ateb ag ailosodiad, ac mae hynny’n ganfyddiad gwahanol i dawelwch. Pan fydd yr allbwn yn dweud hidledig, mae dyfais wedi gollwng y prawf neu ei hateb, ac efallai mai damweiniol yw’r VPN. Ysgrifennwch y geiriad union, oherwydd bod dedfryd cam darganfod a methiant ar lefel prawf yn pwyntio at haenau gwahanol.

Os oes gwir angen modd breiniol, perchennog y platfform sy’n penderfynu a yw’r fraint, y gyrrwr a’r trefniant rhyngwyneb yn cael eu cefnogi. Nid yw dyrchafu’r un alwad yn newid ei ddull.

Stopiwch wrth ganlyniad y cludiant, yna profwch y gwasanaeth

Mae ysgwyd llaw wedi’i gwblhau yn ateb un cwestiwn am un cyfeiriad, porth, ffynhonnell a munud. Nid yw’n profi bod y cefnlen yn iach, oherwydd gall cydbwysedd llwyth neu brocsi ymlaen dderbyn y cysylltiad tra bod y rhaglen y tu ôl iddo i lawr.

Dilynwch ef â chleient y gwasanaeth ei hun fel y gwelir hunaniaeth TLS ac ymddygiad y rhaglen fel ffeithiau ar wahân:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Mae un arfer arall yn cadw’r canlyniad yn ddefnyddiol. Nodwch y gorchymyn union, y cyfeiriad ffynhonnell a ddefnyddiodd a’r amser, oherwydd ni ellir atgynhyrchu na chymharu canlyniad cludiant heb y cyd-destun hwnnw.

Os yw’r dystysgrif yn enwi gwesteiwr nad oeddech yn ei ddisgwyl, gweithiodd y cludiant ac nid oedd llwybro erioed yn broblem; mae’r nam yn y gwesteiwr rhithwir neu yn y DNS. Os yw’r ysgwyd llaw yn methu, cofnodwch y llinyn gwall lleol yn lle cyffredinoli am y tiwnel. Cadwch y nodyn cwmpas wrth ymyl y canlyniad, oherwydd mae angen i’r person nesaf wybod pa ddull a’i cynhyrchodd.