¿El escaneo en bruto de Nmap falla por la VPN pero la conexión -sT funciona?

Una página carga por el túnel mientras un escaneo de puertos informa que el host está caído, y el primer instinto es que la VPN bloquea algo. Normalmente no bloquea nada nuevo. Las dos pruebas piden al sistema operativo capacidades distintas, y solo una necesita acceso en bruto a los paquetes. Averigua qué capacidad falló antes de tocar el túnel.

Separa la capacidad del túnel

Una aplicación normal pide al núcleo que abra una conexión TCP, y el núcleo realiza el handshake sin privilegios especiales. Un escaneo en bruto construye los paquetes él mismo, lo que requiere un socket en bruto o un controlador de captura según la plataforma. Son cuestiones de permisos y controladores, y existen haya o no una VPN conectada.

Esta distinción explica la asimetría habitual. curl funciona porque la ruta del socket funciona, mientras que el escaneo SYN falla porque el proceso no puede abrir un socket en bruto en la interfaz del túnel. También explica el caso inverso, en el que un escaneo en bruto informa filtrado porque la ruta descarta la sonda mientras la ruta de la aplicación sigue bien.

Ninguno de los dos resultados describe el servicio remoto. Ambos describen una ruta bajo un método, así que mantén el método unido a la conclusión.

Ejecuta la comprobación de conexión en un solo host aprobado

Elige el único host que cubre tu tarea y luego usa el modo que no necesita acceso en bruto. El objetivo del ejemplo aquí es 198.51.100.24, espacio de documentación reservado para este tipo de ilustración.

Una línea, un host, un puerto, ninguna fase de descubrimiento:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT selecciona una conexión TCP completa, así que ejercita la misma ruta del núcleo que usa una aplicación y no necesita controlador de captura. -Pn omite el descubrimiento de hosts; nmap sigue haciendo resolución de capa de enlace para objetivos del segmento local, así que la opción no es una promesa de tráfico preliminar cero. --unprivileged indica a nmap que asuma que no tiene derechos de paquetes en bruto ni de captura, lo que cambia el método y no concede nada.

Lee cada opción como un cambio, no como una reparación

Trata cada opción como una afirmación sobre el método. Ni -sT, ni -Pn ni --unprivileged añade una ruta, abre un cortafuegos remoto ni valida un certificado. Un escaneo de conexión también completa un handshake real que el servicio registra, así que una comprobación aprobada y un barrido no aprobado se ven iguales desde el servidor salvo por el alcance y el ritmo. Acumular opciones hasta que la salida cambia es como un problema de método se registra como un hallazgo de red.

Cuando la salida dice cerrado, algo respondió con un reinicio, y eso es un hallazgo distinto del silencio. Cuando la salida dice filtrado, un dispositivo descartó la sonda o su respuesta, y la VPN puede ser incidental. Anota la formulación exacta, porque un veredicto de la fase de descubrimiento y un fallo a nivel de sonda apuntan a capas distintas.

Si de verdad hace falta un modo privilegiado, el responsable de la plataforma decide si se admiten el privilegio, el controlador y la disposición de interfaces. Elevar la misma invocación no cambia su método.

Detente en el resultado del transporte y luego prueba el servicio

Un handshake completado responde una pregunta sobre una dirección, puerto, origen y momento. No demuestra que el backend esté sano, porque un balanceador de carga o un proxy directo puede aceptar la conexión mientras la aplicación detrás está caída.

Continúa con el cliente propio del servicio para que la identidad TLS y el comportamiento de la aplicación se observen como hechos separados:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Una costumbre más mantiene útil el resultado. Anota el comando exacto, la dirección de origen que usó y la hora, porque un resultado de transporte sin ese contexto no se puede reproducir ni comparar.

Si el certificado nombra un host que no esperabas, el transporte funcionó y el enrutamiento nunca fue el problema; la falla está en el alojamiento virtual o en el DNS. Si el handshake falla, registra la cadena de error local en lugar de generalizar sobre el túnel. Mantén la nota de alcance junto al resultado, porque la siguiente persona necesita saber qué método lo produjo.