Pam mae canlyniadau sganio portiau yn newid y tu ôl i allanfa VPN?
Newidiwch yr allanfa a gall port ateb yn wahanol heb i’r gwasanaeth symud. Gwahanwch arsylwi’r llwybr oddi wrth y rhestr sydd ei hangen arnoch mewn gwirionedd.
Rhedwch yr un archwiliad port o linell swyddfa ac o allanfa VPN, a gall y ddau ateb anghytuno am gyfeiriad na newidiodd neb. Daw’r bwlch hwnnw o’r llwybr ac o ba westai a atebodd, nid o fod y gwasanaeth i fyny neu i lawr. Mae tri chwestiwn yn gwahanu’r esboniadau hynny: beth ofynnodd y prawf mewn gwirionedd, pa westai a atebodd, a beth a gofnododd eich gweinydd eich hun. Gweithiwch drwyddynt yn y drefn honno ac ysgrifennwch bob ateb cyn symud i’r nesaf.
Trwsiwch y prawf cyn cymharu dau rediad
Dim ond pan ddaeth y ddau o’r un arbrawf y gellir cymharu gair cyflwr â gair cyflwr arall. Mae pum maes yn ei osod: y cyfeiriad ffynhonnell a welodd yr ochr bell, y cyrchfan a ddatryswyd, y port, y math o sgan, a’r amser. Newidiwch unrhyw un ohonynt a byddwch wedi cynnal ail arbrawf yn lle mesur y cyntaf ddwywaith.
Gwiriwch y ffynhonnell cyn unrhyw beth arall, oherwydd gall cleient VPN fod i fyny tra bo traffig yn dal i adael dros y rhyngwyneb ffisegol. Gofynnwch i’r ochr bell beth mae’n ei weld, yna gofynnwch i’r cnewyllyn pa ryngwyneb a ddewisodd:
curl -s https://ifconfig.me
ip route get 203.0.113.20Mae dau gyfeiriad ar rwydweithiau gwahanol yn golygu bod yr esboniad eisoes wrth law, a bydd gweddill y gwiriadau hyn ond yn ei gadarnhau. Pan fyddant yn cytuno, cofnodwch y prawf gyda’r faner rheswm ymlaen, fel bod y cyflwr yn dod yn ôl ynghlwm wrth esboniad yn lle sefyll ar ei ben ei hun fel gair noeth. Mae’r math o sgan yn perthyn i’r cofnod hwnnw hefyd, gan ei fod yn disgrifio’r hyn a ofynnwyd ac nid yr hyn a ddychwelodd. Ni ellir cymharu cyflwr heb ffynhonnell, heb ddull a heb stamp amser â dim:
nmap -sT -p 443,8443 --reason 203.0.113.20Cadwch y canlyniad hwnnw wrth ymyl y cofnod yn lle mewn byffer sgrolio na all y person nesaf ei weld. Nid yw dau sgan gonest sy’n anghytuno ond yn ddadl pan na fu neb yn ysgrifennu’r amodau i lawr. Gyda’r amodau wedi’u gosod, naill ai mae’r canlyniadau’n cytuno ac mae’r cwestiwn ar gau, neu maent yn wahanol ac mae’r gwahaniaeth yn ffaith am y llwybr.
Darganfyddwch pa westai a orffennodd yr ysgwyd llaw
Mae ysgwyd llaw wedi’i gwblhau yn profi bod rhyw westai wedi’i chwblhau, ac nid oes angen i’r gwestai hwnnw fod y broses sydd gennych mewn golwg. Gall cydbwysedd llwyth, dirprwy gwrthdro neu ddirprwy SYN ateb cyn bod y gweinydd go iawn yn cymryd rhan, sy’n ddyluniad cyffredin yn hytrach na symptom. Nid yw tystysgrif ddilys ar gyfer yr enw a ddisgwylir yn culhau hyn ychwaith, oherwydd mae tystysgrif yn disgrifio perthynas gwasanaeth ac yn dweud dim am ba beiriant a derfynodd y cysylltiad.
Mae cyfeirlyfr cyflwr port Nmap yn ystyried hyn yn sylfaenol: mae cyflwr yn cofnodi’r hyn y gallai prawf ei arsylwi o’r man yr anfonwyd ef, nid nodwedd o’r port. Darllenwch air cyflwr felly a bydd dau rediad a anghytunodd yn dechrau edrych yn gyson yn hytrach nag yn wrthgyferbyniol, tra bo’r cwestiwn yn symud o ba un a yw’r port yn agored i pwy oedd yn sefyll o’i flaen.
Atebwch yr ail gwestiwn yn y backend yn hytrach nag o’r tu allan. Mae blaen yn derbyn cysylltiadau ac yna’n methu â chyrraedd ei upstream yn cynhyrchu’n union y darlun allanol o wasanaeth iach gyda chymhwysiad araf. Dim ond cofnod yr upstream ei hun sy’n gwahanu’r ddau achos:
tail -n 5 /var/log/nginx/access.log
ss -ltnp 'sport = :443'Mae’r llinell log yn dangos cyfeiriad y cleient a welodd y cymhwysiad mewn gwirionedd, ac mae’r ail orchymyn yn dangos a yw’r broses sy’n dal port 443 yn eich cymhwysiad chi neu’n rhywbeth o’i flaen. Os yw’r ddau yn anghytuno ynghylch pa gyfeiriad a gysylltodd, rydych yn edrych ar ddwy goes un cais a dylai’r tocyn ddweud hynny.
Gwiriwch eich rheolau eich hun cyn beio’r twnnel
Polisi bwriadol yw’r rheswm mwyaf cyffredin dros i bort ateb ar un rhwydwaith ac nid ar un arall, a dyma’r esboniad lleiaf diddorol sydd ar gael. Mae rheolau mynediad yn bodoli i ganiatáu un ffynhonnell a gollwng y gweddill, felly mae newid allanfa yn union y digwyddiad y cawsant eu hysgrifennu ar ei gyfer. Felly nid yw cyflwr gwahanol trwy VPN yn dangos bod y darparwr yn archwilio traffig. Mae’n dangos bod eich cyfeiriad ffynhonnell bellach yn wahanol, sy’n honiad llawer llai.
Mae’r rheolau hynny i’w darllen ar y gweinydd, felly darllenwch hwy yn lle dyfalu am ganol y rhwydwaith. Rhestrwch y rheolau hidlo sy’n sôn am unrhyw un o’r ddau amrediad cyfeiriad, yna gwiriwch a gyrhaeddodd y cysylltiad y daemon o gwbl:
nft list ruleset | grep -n -e 203.0.113 -e 198.51.100
journalctl -u sshd -n 50 | grep 203.0.113Mae ail ganlyniad gwag yn addysgiadol, oherwydd ni chyrhaeddodd dim y daemon ac mae’r cwestiwn yn perthyn i hidlydd, grŵp diogelwch neu’r llwybr ei hun. Mae taro yn golygu bod y gwasanaeth wedi gweld eich ffynhonnell ac wedi dewis ei ateb, ac mae’r penderfyniad hwnnw fel arfer wedi’i ysgrifennu mewn rheol y gallwch ei darllen. Nid yw’r naill na’r llall o’r canlyniadau yn cefnogi stori am y darparwr, ac mae’r ddau yn rhatach i’w gwirio na chofnodi pecynnau.
Darllenwch gludiant, tystysgrif ac ymateb ar wahân
Mae tair haen yn cynhyrchu tri arsylwad, ac ni all prawf sy’n profi un ohonynt adrodd ar y ddau arall. Cadwch hwy fel llinellau ar wahân yn y cofnod yn lle eu plygu’n un farn, oherwydd mae pob llinell yn methu yn ei ffordd ei hun ac mae’r modd methu yn dweud wrthych ble i edrych nesaf.
| Observation | What it settles | What it leaves open |
|---|---|---|
| Connection completed | A host on the path accepted the handshake | Which host, and whether its upstream is reachable |
| Certificate valid for the name | The endpoint holds a credential for that name | Whether the process behind it is the one you meant |
| Expected response body | The application handled the request | Anything about other ports or other paths |
| Connection refused | A host replied and nothing was listening | Whether a filter sits ahead of the refused port |
| Timeout | No reply arrived before the deadline | Drop, blackhole route or an overloaded host |
Mae un gorchymyn yn cynhyrchu’r tair rhes gyntaf yn erbyn gwasanaeth a reolwch. Rhowch ei ganlyniad yn y cofnod wrth ymyl y sgan yn lle mewn neges sgwrs:
curl -v --resolve office.example:443:203.0.113.20 https://office.example/Darllenwch y canlyniad mewn trefn: mae’r ysgwyd llaw yn ateb cwestiwn y cludiant, mae pwnc y dystysgrif yn ateb cwestiwn yr enw, ac mae corff yr ymateb yn ateb cwestiwn y cymhwysiad. Pan fydd llinell yr ysgwyd llaw yn llwyddo ac nad yw llinell yr ymateb, mae gennych flaen ag upstream wedi torri yn hytrach na phorth wedi’i rwystro. Mae hwnnw’n docyn gwahanol i’r un a agoroch, ac mae’n werth dweud hynny’n blaen.
Gorffennwch drwy ysgrifennu pedwar ffaith yn y tocyn: cyfeiriad ffynhonnell, math o sgan, y gwestai a atebodd, a’r amser. Mae popeth sydd ei angen ar gymhariaeth hwyrach yn byw yn y pedwar hynny, ac ni fydd gan bwy bynnag a gymer y mater nesaf eich hanes terfynell. Os na allwch lenwi’r pedwar, nid yw’r rhediad wedi gorffen.