Nmap viser forskellige resultater over VPN? Fastlås målet

To portscanninger af samme websted kan være uenige, fordi navnet blev slået op til en anden adresse mellem kørslerne, ikke fordi tunnelen ændrede, hvad målet udstiller. Et værtsnavn er en opslagsinstruks, og Nmap følger den på scanningstidspunktet. Når resolvere svarer med en anden post, målte den anden scanning en anden maskine.

Fastlås den numeriske adresse, og sammenligningen bliver meningsfuld igen. Alt andet i rapporten, fra timing til mellemliggende enheder, forbliver en separat variabel, der kræver sin egen kontrol.

To eksperimenter, der ser identiske ud i en rapport

Sammenlign et navn med sig selv, og du har ændret mindst to ting på én gang: den vej, dine pakker tager, og den destination, resolveren returnerede. En forskel i outputtet kan ikke tilskrives nogen af dem. Den tvetydighed er den sædvanlige grund til, at en før-og-efter-scanning bliver en diskussion, ingen kan afgøre.

Sammenlign en adresse med sig selv, og destinationen er fast af konstruktion. Alt, der stadig afviger, hører til vejen, kildeadressen, filtreringen imellem eller maskinens egen tilstand. Du har fjernet én variabel, hvilket ikke er det samme som at fjerne dem alle.

Skriv ned, hvilket af de to eksperimenter du faktisk kørte, før du drager nogen konklusion fra en porttabel. Forskellen lyder akademisk, indtil en rapport siger, at VPN blokerede en port, der aldrig var åben på den adresse, du ramte anden gang.

Slå først op, og scan derefter den adresse, du registrerede

Del opslag fra sondering, så de to fakta lander forskellige steder. Spørg systemet, hvad det slog op, gem svaret, og giv derefter Nmap den bogstavelige adresse. Gentag de samme to kommandoer med tunnelen nede og oppe.

getent hosts scan.example.net
dig +short scan.example.net A
nmap -Pn -sV -p 443,8443 192.0.2.40

Flaget -Pn betyder noget her, fordi en vært, der ignorerer opdagelsessonder, ellers ville blive rapporteret som nede, og det tomme resultat ville blive læst som en lukket port. Brug kun -sV mod destinationer, som operatøren har godkendt; versionssondering er mere støjende end en bar forbindelse og hører inden for det skrevne omfang.

Nmaps referencedokument for målspecifikation siger udtrykkeligt, at et værtsnavn slås op til en adresse før scanning, og at værktøjet scanner den første, når flere adresser kommer tilbage, medmindre du beder om dem alle. Intet i den adfærd er VPN-specifikt. Split-horizon-DNS, en anden resolver eller en load balancer, der svarer i en ny rækkefølge, giver samme effekt uden nogen tunnel.

Hold den opslåede værdi ved siden af scanningsoutputtet, med adressefamilien, flagsettet og et tidsstempel. Et omvendt opslag, der returnerer et firmanavn, er en anden observation, ikke bevis for, hvilken backend der svarede.

Hvad en ændret porttilstand kan og ikke kan fortælle dig

Når destinationen er fastlåst, peger en port, der skifter fra åben til filtreret, normalt på vejen. Tænk på en ACL længere oppe, en stateful firewall eller en udbyder, der behandler tunnel-egress anderledes end bolig-egress. Indsnævr den ved at teste en anden godkendt adresse i samme subnet, når omfanget tillader det, fordi at bytte værtsnavn ville genindføre resolver-spørgsmålet. Én variabel per kørsel er hele metoden.

En port, der forbliver åben, mens servicebanneret ændrer sig, er en anden historie. Det mønster passer til en frontend, der fordeler forbindelser over backends, og ingen mængde scanning fra din side vil navngive lejeren bag den.

Det, scanningen aldrig fortæller, er hensigt. En filtreret port er et politisk resultat, ikke bevis for, at nogen har udpeget din tunnel, og en åben port er ikke bevis for, at applikationen bag den vil betjene dig. Korrelér med logs på den komponent, du driver, før du skriver nogen af de to historier.

Registrér resultater, så sammenligningen overlever gennemgang

En brugbar registrering indeholder det anmodede navn, den opslåede adresse og dens familie, de præcise flag, kildeadressen i brug og den autorisation, der dækkede destinationen. Tilføj tiden, fordi DNS-svar roterer, og en rapport uden tidsstempler inviterer den samme diskussion to gange. Tilføj også scannerversionen, fordi standard sonderingsadfærd driver mellem udgivelser. Hvis to kørsler brugte forskellige metoder, skal du behandle dem som forskellige eksperimenter og sige det i overskriften i stedet for fodnoten.

Mærk fundet for hvad det er: forskellige destinationer, forskellige kildeveje eller en forskel, der stadig er uforklaret. Det ordforråd holder en scanningsrapport ærlig, og det forhindrer et resolver-svar i at blive genudgivet som en VPN-aflytningshændelse. Det næste skridt er normalt endnu en kørsel med adressen fastlåst, ikke en bredere scanning.