Nmap montras malsamajn rezultojn tra VPN? Fiksu la celon
Gastnomo povas solviĝi al alia adreso post kiam la tunelo stariĝas. Tenadu la numeran celon fiksita antaŭ ol legi ion en ŝanĝitajn pordajn statojn.
Du portoskanoj de la sama retejo povas malkonsenti ĉar la nomo solviĝis al alia adreso inter la ruloj, ne ĉar la tunelo ŝanĝis tion, kion la celo elmetas. Gastnomo estas serĉinstrukcio, kaj Nmap sekvas ĝin dum la skano. Kiam la solvilo respondas per alia rikordo, la dua skano mezuris alian maŝinon.
Fiksu la numeran adreson kaj la komparo denove havas sencon. Ĉio alia en la raporto, de tempomezuro ĝis interaj aparatoj, restas aparta variablo, kiu bezonas sian propran kontrolon.
Du eksperimentoj, kiuj aspektas identaj en raporto
Komparu nomon kun ĝi mem kaj vi ŝanĝis almenaŭ du aferojn samtempe: la vojon, kiun prenas viaj pakaĵoj, kaj la celon, kiun la solvilo redonis. Diferenco en la eligo ne povas esti atribuata al la unu aŭ la alia. Tiu ambigueco estas la kutima kialo, kial antaŭa-kaj-posta skano fariĝas diskuto, kiun neniu povas fini.
Komparu adreson kun ĝi mem kaj la celo estas fiksita laŭkonstrue. Ĉio, kio ankoraŭ diferencas, apartenas al la vojo, la fontadreso, la filtrado inter ili aŭ la propra stato de la maŝino. Vi forigis unu variablon, kio ne samas al forigi ĉiujn.
Notu, kiun el tiuj du eksperimentoj vi vere faris, antaŭ ol tiri ajnan konkludon el porda tabelo. La distingo sonas akademia ĝis raporto diras, ke la VPN blokis pordon, kiu neniam estis malfermita ĉe la adreso, kiun vi trafis la duan fojon.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Unue solvu, poste skanu la registritan adreson
Apartigu solvadon de provado, por ke la du faktoj surteriĝu en malsamaj lokoj. Demandu la sistemon, kion ĝi solvis, konservu tiun respondon, poste donu al Nmap la laŭvortan adreson. Ripetu la samajn du komandojn kun la tunelo malsupre kaj supre.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
La flago -Pn gravas ĉi tie, ĉar gasto, kiu ignoras malkovrajn provojn, alie estus raportita kiel malaktiva kaj la malplena rezulto estus mislegita kiel fermita pordo. Uzu -sV nur kontraŭ celoj, kiujn la operatoro aprobis; versia provado estas pli brua ol nuda konekto kaj apartenas al la skribita amplekso.
La referenco pri cela specifado de Nmap eksplicite diras, ke gastnomo solviĝas al adreso antaŭ skanado kaj ke, kiam pluraj adresoj revenas, la ilo skanas la unuan krom se vi petas ĉiujn. Nenio en tiu konduto estas specifa por VPN. Dividita DNS, alia solvilo aŭ ŝarĝa ekvilibrigilo, kiu respondas en nova ordo, produktas la saman efikon sen ajna tunelo.
Tenu la solvitan valoron apud la skana eligo, kun la adresa familio, la flaga aro kaj tempmarko. Inversa serĉo, kiu redonas firmaan nomon, estas alia observo, ne pruvo pri tio, kiu malantaŭaĵo respondis.
Kion ŝanĝita porda stato povas kaj ne povas diri al vi
Post kiam la celo estas fiksita, pordo, kiu transiras de malfermita al filtrita, kutime montras al la vojo. Pensu pri ACL supre, ŝtatkonscia fajromuro aŭ provizanto, kiu traktas tunelan eliron alie ol hejman eliron. Mallarĝigu ĝin per testado de dua aprobita adreso en la sama subreto, kiam la amplekso permesas, ĉar ŝanĝi la gastnomon reenkondukus la solvilan demandon. Unu variablo por rulo estas la tuta metodo.
Pordo, kiu restas malfermita dum la serva standardo ŝanĝiĝas, estas alia rakonto. Tiu ŝablono taŭgas por fronto, kiu distribuas konektojn inter malantaŭaĵoj, kaj neniu kvanto da skanado de via flanko nomos la luanton malantaŭ ĝi.
Kion la skano neniam diras, estas intenco. Filtrita pordo estas politika rezulto, ne pruvo ke iu elektis vian tunelon, kaj malfermita pordo ne estas pruvo ke la aplikaĵo malantaŭ ĝi servos vin. Koreligu kun protokoloj de la komponento, kiun vi funkciigas, antaŭ ol skribi iun ajn el la du rakontoj.
Registru rezultojn por ke la komparo postvivu revizion
Utila rikordo enhavas la petitan nomon, la solvitan adreson kaj ĝian familion, la precizajn flagojn, la fontadreson en uzo kaj la rajtigon, kiu kovris la celon. Aldonu la tempon, ĉar DNS-respondoj rotacias kaj raporto sen tempmarkoj invitas la saman diskuton dufoje. Aldonu ankaŭ la skanilan version, ĉar la defaŭlta proba konduto drivas inter eldonoj. Se du ruloj uzis malsamajn metodojn, traktu ilin kiel malsamajn eksperimentojn kaj diru tion en la titolo anstataŭ en la piednoto.
Etikedu la trovitaĵon laŭ tio, kio ĝi estas: malsamaj celoj, malsamaj fontvojoj aŭ diferenco ankoraŭ neklarigita. Tiu vortprovizo tenas skanan raporton honesta kaj malhelpas, ke solvila respondo estu reeldonita kiel VPN-interkapta evento. La sekva paŝo kutime estas ankoraŭ unu rulo kun fiksita adreso, ne pli vasta skano.