Η ακατέργαστη σάρωση του Nmap αποτυγχάνει μέσω VPN, αλλά η σύνδεση -sT λειτουργεί;

Μια σελίδα φορτώνει μέσα από τη σήραγγα, ενώ μια σάρωση θυρών αναφέρει τον κεντρικό υπολογιστή ως ανενεργό, και η πρώτη σκέψη είναι ότι το VPN μπλοκάρει κάτι. Συνήθως δεν μπλοκάρει τίποτα νέο. Οι δύο δοκιμές ζητούν από το λειτουργικό σύστημα διαφορετικές δυνατότητες, και μόνο μία από αυτές χρειάζεται ακατέργαστη πρόσβαση σε πακέτα. Βρείτε ποια δυνατότητα απέτυχε πριν αγγίξετε τη σήραγγα.

Διαχωρίστε τη δυνατότητα από τη σήραγγα

Μια συνηθισμένη εφαρμογή ζητά από τον πυρήνα να ανοίξει μια σύνδεση TCP, και ο πυρήνας εκτελεί τη χειραψία χωρίς ειδικό δικαίωμα. Μια ακατέργαστη σάρωση κατασκευάζει η ίδια τα πακέτα, κάτι που απαιτεί ακατέργαστο socket ή πρόγραμμα οδήγησης σύλληψης ανάλογα με την πλατφόρμα. Αυτά είναι ζητήματα αδειών και προγραμμάτων οδήγησης, και υπάρχουν είτε είναι συνδεδεμένο ένα VPN είτε όχι.

Αυτή η διάκριση εξηγεί τη συνήθη ασυμμετρία. Το curl πετυχαίνει επειδή η διαδρομή του socket λειτουργεί, ενώ η σάρωση SYN αποτυγχάνει επειδή η διεργασία δεν μπορεί να ανοίξει ακατέργαστο socket στη διεπαφή της σήραγγας. Εξηγεί επίσης την αντίστροφη περίπτωση, όπου μια ακατέργαστη σάρωση αναφέρει φιλτραρισμένο επειδή η διαδρομή ρίχνει τον ανιχνευτή ενώ η διαδρομή της εφαρμογής παραμένει καλή.

Κανένα από τα δύο αποτελέσματα δεν περιγράφει την απομακρυσμένη υπηρεσία. Και τα δύο περιγράφουν μία διαδρομή υπό μία μέθοδο, οπότε κρατήστε τη μέθοδο δεμένη με το συμπέρασμα.

Εκτελέστε τον έλεγχο σύνδεσης σε έναν εγκεκριμένο κεντρικό υπολογιστή

Διαλέξτε τον μοναδικό κεντρικό υπολογιστή που καλύπτει η εργασία σας και μετά χρησιμοποιήστε τη λειτουργία που δεν χρειάζεται ακατέργαστη πρόσβαση. Ο στόχος του παραδείγματος εδώ είναι 198.51.100.24, χώρος τεκμηρίωσης που προορίζεται για αυτού του είδους απεικόνισης.

Μία γραμμή, ένας κεντρικός υπολογιστής, μία θύρα, κανένα στάδιο ανακάλυψης:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

Το -sT επιλέγει πλήρη σύνδεση TCP, άρα δοκιμάζει την ίδια διαδρομή πυρήνα που χρησιμοποιεί μια εφαρμογή και δεν χρειάζεται πρόγραμμα οδήγησης σύλληψης. Το -Pn παραλείπει την ανακάλυψη κεντρικών υπολογιστών· το nmap εξακολουθεί να κάνει επίλυση επιπέδου ζεύξης για στόχους στο τοπικό τμήμα, άρα η σημαία δεν είναι υπόσχεση μηδενικής προκαταρκτικής κίνησης. Το --unprivileged λέει στο nmap να υποθέσει ότι δεν έχει δικαιώματα ακατέργαστων πακέτων ή υποκλοπής, κάτι που αλλάζει τη μέθοδο και δεν παραχωρεί τίποτα.

Διαβάστε κάθε σημαία ως μία αλλαγή, όχι ως επισκευή

Αντιμετωπίστε κάθε επιλογή ως δήλωση για τη μέθοδο. Ούτε το -sT ούτε το -Pn ούτε το --unprivileged προσθέτει διαδρομή, ανοίγει απομακρυσμένο τείχος προστασίας ή επικυρώνει πιστοποιητικό. Η σάρωση σύνδεσης ολοκληρώνει επίσης μια πραγματική χειραψία που καταγράφει η υπηρεσία, άρα ένας εγκεκριμένος έλεγχος και μια μη εγκεκριμένη σάρωση φαίνονται ίδια από τον διακομιστή εκτός από εύρος και ρυθμό. Η στοίβαξη επιλογών μέχρι να αλλάξει η έξοδος είναι ο τρόπος με τον οποίο ένα πρόβλημα μεθόδου καταγράφεται ως εύρημα δικτύου.

Όταν η έξοδος λέει κλειστό, κάτι απάντησε με επαναφορά, και αυτό είναι διαφορετικό εύρημα από τη σιωπή. Όταν η έξοδος λέει φιλτραρισμένο, μια συσκευή έριξε τον ανιχνευτή ή την απάντησή του, και το VPN μπορεί να είναι τυχαίο. Γράψτε τη διατύπωση ακριβώς, γιατί μια ετυμηγορία του σταδίου ανακάλυψης και μια αποτυχία σε επίπεδο ανιχνευτή δείχνουν διαφορετικά επίπεδα.

Αν μια προνομιακή λειτουργία είναι πραγματικά απαραίτητη, ο ιδιοκτήτης της πλατφόρμας αποφασίζει αν υποστηρίζονται το δικαίωμα, το πρόγραμμα οδήγησης και η διάταξη των διεπαφών. Η αναβάθμιση της ίδιας κλήσης δεν αλλάζει τη μέθοδό της.

Σταματήστε στο αποτέλεσμα μεταφοράς και μετά δοκιμάστε την υπηρεσία

Μια ολοκληρωμένη χειραψία απαντά σε μία ερώτηση για μία διεύθυνση, θύρα, πηγή και στιγμή. Δεν αποδεικνύει ότι το backend είναι υγιές, γιατί ένας εξισορροπητής φορτίου ή ένας πρόσθιος διακομιστής μεσολάβησης μπορεί να δεχτεί τη σύνδεση ενώ η εφαρμογή πίσω του είναι ανενεργή.

Συνεχίστε με τον δικό του πελάτη της υπηρεσίας ώστε η ταυτότητα TLS και η συμπεριφορά της εφαρμογής να παρατηρούνται ως ξεχωριστά γεγονότα:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Μια ακόμη συνήθεια κρατά το αποτέλεσμα χρήσιμο. Καταγράψτε την ακριβή εντολή, τη διεύθυνση πηγής που χρησιμοποίησε και την ώρα, γιατί ένα αποτέλεσμα μεταφοράς χωρίς αυτό το πλαίσιο δεν μπορεί να αναπαραχθεί ή να συγκριθεί.

Αν το πιστοποιητικό ονομάζει κεντρικό υπολογιστή που δεν περιμένατε, η μεταφορά λειτούργησε και η δρομολόγηση δεν ήταν ποτέ το πρόβλημα· η βλάβη βρίσκεται στην εικονική φιλοξενία ή στο DNS. Αν η χειραψία αποτύχει, καταγράψτε την τοπική συμβολοσειρά σφάλματος αντί να γενικεύσετε για τη σήραγγα. Κρατήστε τη σημείωση εύρους δίπλα στο αποτέλεσμα, γιατί το επόμενο άτομο πρέπει να ξέρει ποια μέθοδος το παρήγαγε.