Nmap’i toores skaneerimine ebaõnnestub VPN-i kaudu, aga -sT ühendus töötab?

Leht laaditakse tunnelist, samal ajal kui pordiskaneerimine teatab hosti mittekättesaadavaks, ja esimene mõte on, et VPN blokeerib midagi. Tavaliselt ei blokeeri see midagi uut. Kaks testi nõuavad operatsioonisüsteemilt erinevaid võimalusi ja ainult üks neist vajab toores paketipääsu. Tehke kindlaks, milline võimalus ebaõnnestus, enne kui tunnelit puutute.

Eraldage võimalus tunnelist

Tavaline rakendus palub kernelil avada TCP-ühenduse ja kernel teeb kätluse ilma eriõiguseta. Toores skaneerimine ehitab paketid ise, mis nõuab sõltuvalt platvormist toorest soklit või püüdmisdraiverit. Need on õiguste ja draiverite küsimused ning need kehtivad olenemata sellest, kas VPN on ühendatud.

See erinevus selgitab tavalist asümmeetriat. curl õnnestub, sest sokli tee töötab, samal ajal kui SYN-skaneerimine ebaõnnestub, sest protsess ei saa tunneli liidesel toorest soklit avada. See selgitab ka vastupidist juhtumit, kus toores skaneerimine teatab filtreeritud, sest tee viskab sondi ära, samal ajal kui rakenduse tee jääb korda.

Kumbki tulemus ei kirjelda kaugteenust. Mõlemad kirjeldavad üht teed ühe meetodi all, seega hoidke meetod järelduse küljes.

Käivitage ühenduse kontroll ühel lubatud hostil

Valige ainus host, mida teie ülesanne hõlmab, ja kasutage seejärel režiimi, mis ei vaja toorest juurdepääsu. Näidise sihtmärk on siin 198.51.100.24, dokumentatsiooniruum, mis on selliseks illustreerimiseks reserveeritud.

Üks rida, üks host, üks port, ilma avastamisetapita:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT valib täieliku TCP-ühenduse, seega läbib sama kerneli tee, mida rakendus kasutab, ja ei vaja püüdmisdraiverit. -Pn jätab hosti avastamise vahele; nmap teeb siiski lokaalse segmendi sihtmärkide jaoks linkkihi tuvastuse, seega lipp ei ole lubadus nullist eelnevast liiklusest. --unprivileged ütleb nmapile, et eeldada, et sellel pole tooreid ega nuuskimisõigusi, mis muudab meetodit ega anna midagi.

Lugege iga lippu ühe muudatusena, mitte parandusena

Käsitlege iga valikut väitena meetodi kohta. Ei -sT, -Pn ega --unprivileged lisa marsruuti, ava kaugtulemüüri ega valideeri sertifikaati. Ühenduse skaneerimine lõpetab ka tõelise kätluse, mille teenus logib, seega lubatud kontroll ja lubamata läbikammimine näevad serveri poolt ühesugused välja, välja arvatud ulatus ja tempo. Valikute kuhjamine, kuni väljund muutub, on viis, kuidas meetodiprobleem salvestatakse võrgu leiuna.

Kui väljund ütleb suletud, vastas miski lähtestamisega, ja see on teistsugune leid kui vaikus. Kui väljund ütleb filtreeritud, viskas seade sondi või selle vastuse ära, ja VPN võib olla juhuslik. Kirjutage täpne sõnastus üles, sest avastamisetapi otsus ja sondi tasandi tõrge osutavad erinevatele kihtidele.

Kui privilegeeritud režiim on tõesti vajalik, otsustab platvormi omanik, kas õigus, draiver ja liideste paigutus on toetatud. Sama kutse tõstmine ei muuda selle meetodit.

Peatuge transporditulemusel ja seejärel testige teenust

Lõpetatud kätlus vastab ühele küsimusele ühe aadressi, pordi, allika ja hetke kohta. See ei tõesta, et taustasüsteem on terve, sest koormusjaotur või edaspidine puhverserver võib ühenduse vastu võtta, samal ajal kui selle taga olev rakendus ei tööta.

Jätkake teenuse enda kliendiga, et TLS-identiteet ja rakenduse käitumine oleksid vaadeldavad eraldi faktidena:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Veel üks harjumus hoiab tulemuse kasulikuna. Kirjutage üles täpne käsk, kasutatud lähteaadress ja aeg, sest transporditulemust ilma selle kontekstita ei saa korrata ega võrrelda.

Kui sertifikaat nimetab hosti, mida te ei oodanud, transport töötas ja marsruutimine ei olnud kunagi probleem; viga on virtuaalses hostimises või DNS-is. Kui kätlus ebaõnnestub, kirjutage üles kohalik veateade, selle asemel et tunneli kohta üldistada. Hoidke ulatuse märkus tulemuse kõrval, sest järgmine inimene peab teadma, milline meetod selle tekitas.