¿Nmap muestra resultados distintos a través de una VPN? Fija el objetivo

Dos escaneos de puertos del mismo sitio web pueden discrepar porque el nombre se resolvió a otra dirección entre ejecuciones, no porque el túnel haya cambiado lo que expone el objetivo. Un nombre de host es una instrucción de búsqueda, y Nmap la sigue en el momento del escaneo. Cuando el resolutor responde con otro registro, el segundo escaneo midió otra máquina.

Fija la dirección numérica y la comparación vuelve a tener sentido. Todo lo demás del informe, desde los tiempos hasta los dispositivos intermedios, sigue siendo una variable aparte que necesita su propio control.

Dos experimentos que parecen idénticos en un informe

Compara un nombre consigo mismo y habrás cambiado al menos dos cosas a la vez: la ruta que siguen tus paquetes y el destino que devolvió el resolutor. Una diferencia en la salida no puede atribuirse a ninguna de las dos. Esa ambigüedad es la razón habitual por la que un escaneo de antes y después se convierte en una discusión que nadie puede zanjar.

Compara una dirección consigo misma y el destino queda fijado por construcción. Todo lo que aún difiere pertenece a la ruta, a la dirección de origen, al filtrado intermedio o al estado de la propia máquina. Has eliminado una variable, lo que no es lo mismo que eliminarlas todas.

Anota cuál de esos dos experimentos ejecutaste realmente antes de sacar cualquier conclusión de una tabla de puertos. La distinción suena académica hasta que un informe dice que la VPN bloqueó un puerto que nunca estuvo abierto en la dirección que alcanzaste la segunda vez.

Resuelve primero y luego escanea la dirección que registraste

Separa la resolución del sondeo para que los dos hechos queden en lugares distintos. Pregunta al sistema qué resolvió, guarda esa respuesta y luego entrega a Nmap la dirección literal. Repite los mismos dos comandos con el túnel caído y levantado.

getent hosts scan.example.net
dig +short scan.example.net A
nmap -Pn -sV -p 443,8443 192.0.2.40

El flag -Pn importa aquí, porque un host que ignora las sondas de descubrimiento se reportaría como caído y el resultado vacío se leería mal como un puerto cerrado. Usa -sV solo contra destinos que el operador haya aprobado; el sondeo de versiones hace más ruido que una conexión simple y pertenece al alcance escrito.

La referencia de especificación de objetivos de Nmap dice explícitamente que un nombre de host se resuelve a una dirección antes de escanear y que, cuando vuelven varias direcciones, la herramienta escanea la primera salvo que pidas todas. Nada de ese comportamiento es específico de la VPN. Un DNS dividido, un resolutor distinto o un balanceador de carga que responde en un orden nuevo producen el mismo efecto sin túnel alguno.

Mantén el valor resuelto junto a la salida del escaneo, con la familia de direcciones, el conjunto de flags y una marca de tiempo. Una búsqueda inversa que devuelve el nombre de una empresa es otra observación, no una prueba de qué backend respondió.

Qué puede y qué no puede decirte un estado de puerto cambiado

Una vez fijado el destino, un puerto que pasa de abierto a filtrado suele señalar la ruta. Piensa en una ACL aguas arriba, un cortafuegos con estado o un proveedor que trata la salida del túnel de forma distinta a la salida residencial. Acótalo probando una segunda dirección aprobada en la misma subred cuando el alcance lo permita, porque cambiar el nombre de host reintroduciría la pregunta del resolutor. Una variable por ejecución es todo el método.

Un puerto que sigue abierto mientras cambia el banner del servicio es otra historia. Ese patrón encaja con un front-end que reparte conexiones entre backends, y ninguna cantidad de escaneo de tu lado nombrará al inquilino que hay detrás.

Lo que el escaneo nunca dice es la intención. Un puerto filtrado es un resultado de política, no una prueba de que alguien haya señalado tu túnel, y un puerto abierto no es una prueba de que la aplicación de detrás vaya a servirte. Correlaciona con los registros del componente que operas antes de escribir cualquiera de las dos historias.

Registra los resultados para que la comparación sobreviva a la revisión

Un registro útil contiene el nombre solicitado, la dirección resuelta y su familia, los flags exactos, la dirección de origen en uso y la autorización que cubría el destino. Añade la hora, porque las respuestas DNS rotan y un informe sin marcas de tiempo invita a la misma discusión dos veces. Añade también la versión del escáner, porque el comportamiento de sondeo por defecto cambia entre versiones. Si dos ejecuciones usaron métodos distintos, trátalas como experimentos distintos y dilo en el encabezado, no en la nota al pie.

Etiqueta el hallazgo por lo que es: destinos distintos, rutas de origen distintas o una diferencia aún sin explicar. Ese vocabulario mantiene honesto un informe de escaneo y evita que una respuesta del resolutor se vuelva a publicar como un evento de interceptación de VPN. El siguiente paso suele ser otra ejecución con la dirección fijada, no un escaneo más amplio.