Nmap zeigt über VPN andere Ergebnisse? Fixieren Sie das Ziel
Ein Hostname kann nach dem Aufbau des Tunnels auf eine andere Adresse auflösen. Halten Sie das numerische Ziel fest, bevor Sie etwas in geänderte Portzustände hineinlesen.
Zwei Portscans derselben Website können voneinander abweichen, weil der Name zwischen den Läufen auf eine andere Adresse aufgelöst wurde, nicht weil der Tunnel verändert hat, was das Ziel exponiert. Ein Hostname ist eine Nachschlageanweisung, und Nmap folgt ihr zum Scanzeitpunkt. Antwortet der Resolver mit einem anderen Datensatz, hat der zweite Scan eine andere Maschine gemessen.
Fixieren Sie die numerische Adresse, und der Vergleich wird wieder aussagekräftig. Alles andere im Bericht, von der Zeitmessung bis zu Zwischengeräten, bleibt eine eigene Variable, die ihre eigene Kontrolle braucht.
Zwei Experimente, die in einem Bericht identisch aussehen
Vergleichen Sie einen Namen mit sich selbst, und Sie haben mindestens zwei Dinge gleichzeitig geändert: den Pfad, den Ihre Pakete nehmen, und das Ziel, das der Resolver zurückgegeben hat. Eine Abweichung in der Ausgabe lässt sich keinem von beiden zuordnen. Diese Mehrdeutigkeit ist der übliche Grund, warum ein Vorher-nachher-Scan zu einer Diskussion wird, die niemand beilegen kann.
Vergleichen Sie eine Adresse mit sich selbst, und das Ziel ist konstruktionsbedingt fest. Was sich noch unterscheidet, gehört zum Pfad, zur Quelladresse, zur Filterung dazwischen oder zum eigenen Zustand der Maschine. Sie haben eine Variable entfernt, was nicht dasselbe ist wie alle zu entfernen.
Schreiben Sie auf, welches der beiden Experimente Sie tatsächlich durchgeführt haben, bevor Sie irgendeine Schlussfolgerung aus einer Porttabelle ziehen. Der Unterschied klingt akademisch, bis ein Bericht sagt, das VPN habe einen Port blockiert, der auf der zweiten Adresse nie offen war.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Erst auflösen, dann die aufgezeichnete Adresse scannen
Trennen Sie Auflösung vom Sondieren, damit die beiden Fakten an verschiedenen Stellen landen. Fragen Sie das System, was es aufgelöst hat, speichern Sie die Antwort und geben Sie Nmap dann die wörtliche Adresse. Wiederholen Sie dieselben zwei Befehle mit heruntergefahrenem und aufgebautem Tunnel.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
Das Flag -Pn ist hier wichtig, denn ein Host, der Erkennungssonden ignoriert, würde sonst als ausgefallen gemeldet und das leere Ergebnis als geschlossener Port fehlgedeutet. Verwenden Sie -sV nur gegen Ziele, die der Betreiber freigegeben hat; Versionssondierung ist lauter als eine bloße Verbindung und gehört in den schriftlichen Umfang.
Die Referenz zur Zielangabe von Nmap sagt ausdrücklich, dass ein Hostname vor dem Scannen auf eine Adresse aufgelöst wird und dass das Werkzeug bei mehreren zurückgegebenen Adressen die erste scannt, sofern Sie nicht alle anfordern. Nichts an diesem Verhalten ist VPN-spezifisch. Split-Horizon-DNS, ein anderer Resolver oder ein Lastverteiler, der in neuer Reihenfolge antwortet, erzeugt denselben Effekt ohne jeden Tunnel.
Halten Sie den aufgelösten Wert neben der Scanausgabe fest, mit Adressfamilie, Flagsatz und Zeitstempel. Eine Reverse-Lookup, die einen Firmennamen zurückgibt, ist eine weitere Beobachtung, kein Beweis dafür, welches Backend geantwortet hat.
Was ein geänderter Portzustand Ihnen sagen kann und was nicht
Ist das Ziel fixiert, deutet ein Port, der von offen auf gefiltert wechselt, meist auf den Pfad. Denken Sie an eine ACL weiter oben, eine zustandsbehaftete Firewall oder einen Anbieter, der Tunnel-Egress anders behandelt als privaten Egress. Grenzen Sie es ein, indem Sie eine zweite freigegebene Adresse im selben Subnetz testen, wenn der Umfang es erlaubt, denn ein Wechsel des Hostnamens würde die Resolver-Frage wieder einführen. Eine Variable pro Lauf ist die ganze Methode.
Ein Port, der offen bleibt, während sich das Dienstbanner ändert, ist eine andere Geschichte. Dieses Muster passt zu einem Frontend, das Verbindungen über Backends verteilt, und keine Scanmenge von Ihrer Seite wird den Mieter dahinter benennen.
Was der Scan nie verrät, ist Absicht. Ein gefilterter Port ist ein Politikergebnis, kein Beweis, dass jemand Ihren Tunnel gezielt ausgewählt hat, und ein offener Port ist kein Beweis, dass die Anwendung dahinter Sie bedienen wird. Korrelieren Sie mit Protokollen der Komponente, die Sie betreiben, bevor Sie eine der beiden Geschichten schreiben.
Ergebnisse so festhalten, dass der Vergleich die Prüfung übersteht
Ein brauchbarer Datensatz enthält den angefragten Namen, die aufgelöste Adresse samt Familie, die genauen Flags, die verwendete Quelladresse und die Autorisierung, die das Ziel abdeckte. Fügen Sie die Zeit hinzu, denn DNS-Antworten rotieren und ein Bericht ohne Zeitstempel lädt dieselbe Diskussion zweimal ein. Fügen Sie auch die Scanner-Version hinzu, denn das Standard-Sondierungsverhalten verschiebt sich zwischen Versionen. Wenn zwei Läufe unterschiedliche Methoden nutzten, behandeln Sie sie als unterschiedliche Experimente und sagen Sie das in der Überschrift statt in der Fußnote.
Etikettieren Sie den Befund als das, was er ist: unterschiedliche Ziele, unterschiedliche Quellpfade oder eine noch unerklärte Abweichung. Diese Sprache hält einen Scanbericht ehrlich und verhindert, dass eine Resolver-Antwort als VPN-Abfangereignis erneut veröffentlicht wird. Der nächste Schritt ist meist ein weiterer Lauf mit fixierter Adresse, kein breiterer Scan.