Nmapen eskaneatze gordinak huts egiten du VPN baten bidez, baina -sT konexioak funtzionatzen du?

Orrialde bat tunelaren bidez kargatzen da, portu eskaneatze batek ostalaria behera dagoela dioen bitartean, eta lehen sena VPNak zerbait blokeatzen duelakoa da. Normalean ez du ezer berririk blokeatzen. Bi probek sistema eragileari gaitasun desberdinak eskatzen dizkiote, eta horietako batek soilik behar du paketeetarako sarbide gordina. Ebatzi zein gaitasunek huts egin duen tunela ukitu aurretik.

Bereizi gaitasuna tunelatik

Aplikazio arrunt batek nukleoari TCP konexio bat irekitzeko eskatzen dio, eta nukleoak estuaketa egiten du pribilegio berezirik gabe. Eskaneatze gordinak paketeak beraiek eraikitzen ditu, eta horrek socket gordina edo harrapatze kontrolatzailea behar ditu plataformaren arabera. Baimenen eta kontrolatzaileen kontuak dira, eta VPN bat konektatuta egon ala ez existitzen dira.

Bereizketa horrek ohiko asimetria azaltzen du. curl arrakastatsua da socketaren bidea funtzionatzen duelako, SYN eskaneatzeak huts egiten duen bitartean prozesuak ezin duelako socket gordinik ireki tunelaren interfazean. Alderantzizko kasua ere azaltzen du: eskaneatze gordinak iragazita jakinarazten du bideak zunda botatzen duelako, aplikazioaren bideak ondo jarraitzen duen bitartean.

Bi emaitzetako batek ere ez du urruneko zerbitzua deskribatzen. Biek bide bat deskribatzen dute metodo baten pean, beraz mantendu metodoa ondorioari lotuta.

Egin konexioaren egiaztapena onartutako ostalari bakarrean

Aukeratu zure zereginak hartzen duen ostalari bakarra, eta gero erabili sarbide gordinik behar ez duen modua. Hemen adibideko helburua 198.51.100.24 da, ilustrazio mota honetarako gordetako dokumentazio espazioa.

Lerro bat, ostalari bat, portu bat, aurkikuntza faserik gabe:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT TCP konexio osoa hautatzen du, beraz aplikazio batek erabiltzen duen nukleo bide bera probatzen du eta ez du harrapatze kontrolatzailerik behar. -Pn ostalari aurkikuntza saltatzen du; nmap-ek oraindik esteka geruzako ebazpena egiten du tokiko segmentuko helburuetarako, beraz banderak ez du hasierako trafiko nulurik agintzen. --unprivileged nmap-i esaten dio suposa dezala ez duela eskubide gordinik ez usnatzekorik, eta horrek metodoa aldatzen du eta ezer ez du ematen.

Irakurri bandera bakoitza aldaketa bat bezala, konponketa bat bezala ez

Hartu aukera bakoitza metodoari buruzko baieztapen gisa. -sT, -Pn edo --unprivileged ez du ibilbiderik gehitzen, ez du urruneko suebakirik irekitzen eta ez du ziurtagiririk baliozkotzen. Konexio eskaneatzeak zerbitzuak erregistratzen duen estuaketa erreala ere osatzen du, beraz onartutako egiaztapen batek eta onartu gabeko miaketak berdinak dirudite zerbitzaritik, irismena eta erritmoa izan ezik. Aukerak pilatzea irteera aldatu arte metodo arazo bat sare aurkikuntza gisa erregistratzeko modua da.

Irteerak itxita dioenean, zerbait berrezarpen batekin erantzun du, eta hori isiltasunaren aurkikuntza ezberdina da. Irteerak iragazita dioenean, gailu batek zunda edo haren erantzuna bota du, eta VPNa ustekabea izan daiteke. Idatzi forma zehatza, aurkikuntza faseari buruzko epaiak eta zunda mailako hutsegiteak geruza desberdinetara seinalatzen dutelako.

Benetan modu pribilegiatua behar bada, plataformaren jabeak erabakiko du pribilegioa, kontrolatzailea eta interfazeen antolaketa onartzen diren. Inbokazio bera igotzeak ez du haren metodoa aldatzen.

Gelditu garraioaren emaitzan, eta gero probatu zerbitzua

Estuaketa osatu batek helbide, portu, iturri eta une bati buruzko galdera bati erantzuten dio. Ez du frogatzen backend-a osasuntsu dagoenik, karga orekatzaile batek edo aurrealdeko proxy batek konexioa onar baitezakete haren atzeko aplikazioa behera dagoen bitartean.

Jarraitu zerbitzuaren berezko bezeroarekin, TLS identitatea eta aplikazioaren portaera gertaera bereizi gisa ikusteko:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Ohitura gehiago batek emaitza erabilgarri mantentzen du. Idatzi komando zehatza, erabilitako iturri helbidea eta ordua, testuinguru hori gabe garraio emaitza ezin baita erreproduzitu edo alderatu.

Ziurtagiriak espero ez zenuen ostalari bat izendatzen badu, garraioak funtzionatu zuen eta bideratzea ez zen inoiz arazoa; hutsegitea ostalaritza birtualean edo DNSan dago. Estuaketak huts egiten badu, erregistratu tokiko errore katea tunelari buruz orokortu ordez. Mantendu irismenaren oharra emaitzaren ondoan, hurrengo pertsonak jakin behar baitu zein metodo-k sortu zuen.