Nmap-ek VPN bidez emaitza desberdinak erakusten ditu? Finkatu helburua
Ostalari-izen bat beste helbide batera ebatzi daiteke tunela martxan dagoenean. Eutsi helburu numerikoa finko ataka-egoera aldatuetan ezer irakurri aurretik.
Webgune beraren bi ataka-eskaneatze desberdin gerta daitezke izena exekuzioen artean beste helbide batera ebatzi delako, ez tunelak helburuak agerian uzten duena aldatu duelako. Ostalari-izena bilaketa-argibidea da, eta Nmap-ek eskaneatze unean jarraitzen du. Ebazleak beste erregistro batekin erantzuten badu, bigarren eskaneatzeak beste makina bat neurtu du.
Finkatu helbide numerikoa eta konparazioak zentzua berreskuratzen du. Txostenean gainerako guztia, denboratzetik tarteko gailuetarain, bere kontrol propioa behar duen aldagai bereizi bat da.
Txosten batean berdinak diruditen bi esperimentu
Konparatu izen bat bere buruarekin eta gutxienez bi gauza aldatu dituzu aldi berean: zure paketeek egiten duten bidea eta ebazleak itzuli zuen helmuga. Irteerako desberdintasuna ezin zaio biei egotzi. Anbiguotasun hori da aurretik eta ondoren egindako eskaneatzea inork konpondu ezin duen eztabaidan bihurtzeko ohiko arrazoia.
Konparatu helbide bat bere buruarekin eta helmuga eraikuntzaz finkoa da. Oraindik desberdin den guztia bideari, iturburu-helbideari, tarteko iragazketari edo makinaren beraren egoerari dagokio. Aldagai bat kendu duzu, eta hori ez da guztiak kentzearen berdina.
Idatzi zein bi esperimentu horietatik benetan exekutatu duzun ataka-taulatik edozein ondorio atera aurretik. Bereizketa akademikoa dirudi txosten batek VPN-ak bigarren aldiz jo zenuen helbidean inoiz irekita egon ez zen ataka bat blokeatu zuela esan arte.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Lehenengo ebatzi, gero grabatu duzun helbidea eskaneatu
Bereizi ebazpena zundaketatik, bi gertaerak leku desberdinetan gera daitezen. Galdetu sistemari zer ebatzi duen, gorde erantzun hori eta eman Nmap-i helbide literala. Errepikatu bi komando berberak tunela jaitsita eta igota.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
-Pn bandera garrantzitsua da hemen, aurkikuntza-zundak baztertzen dituen ostalari bat jaitsita gisa jakinaraziko litzatekeelako eta emaitza hutsa ataka itxi gisa gaizki irakurriko litzatekeelako. Erabili -sV soilik operadoreak onartutako helmugen aurka; bertsio-zundaketak konexio soila baino ozenagoa da eta idatzitako esparruan dago.
Nmap-en helburu-zehaztapenaren erreferentziak argi dio ostalari-izen bat helbide batera ebazten dela eskaneatu aurretik, eta hainbat helbide itzultzen direnean tresnak lehenengoa eskaneatzen duela, denak eskatzen ez badituzu. Jokabide horretan ezer ez da VPN-berezia. DNS zatituak, ebazle desberdinak edo ordena berrian erantzuten duen karga-banatzaileak efektu bera sortzen dute tunelik gabe.
Eduki ebatzitako balioa eskaneatze-irteeraren ondoan, helbide-familia, bandera-multzoa eta denbora-markarekin. Enpresaren izena itzultzen duen alderantzizko bilaketa beste behaketa bat da, ez zein backend-ek erantzun zuen froga.
Ataka-egoera aldatuak zer esan diezazukeen eta zer ez
Helmuga finkatu ondoren, irekitik iragazitara aldatzen den ataka batek bidea seinalatzen du normalean. Pentsa ezazu goragoko ACL batean, egoeradun suebaki batean edo tunel-irteera etxeko irteeraz bestela tratatzen duen hornitzaile batean. Estutu esparruak baimenduta, subred bereko bigarren helbide onartu bat probatuz, ostalari-izena aldatzeak ebazlearen galdera berriro sartuko lukeelako. Exekuzio bakoitzeko aldagai bat da metodo osoa.
Zerbitzu-bannerra aldatzen den bitartean irekita jarraitzen duen ataka beste istorio bat da. Eredu hori konexioak backend-en artean banatzen dituen front-end batekin bat dator, eta zure aldetik eskaneatze-kopuruak ez du atzean dagoen maizterra izendatuko.
Eskaneatzeak inoiz esaten ez duena asmoa da. Iragazitako ataka bat politikaren emaitza da, ez inork zure tunela bereizi duen froga, eta ataka irekia ez da atzean dagoen aplikazioak zerbitzatuko zaituen froga. Erlazionatu kudeatzen duzun osagaiaren erregistroekin bi istorioetako edozein idatzi aurretik.
Erregistratu emaitzak konparazioak berrikuspena gaindi dezan
Erregistro erabilgarri batek eskatutako izena, ebatzitako helbidea eta haren familia, bandera zehatzak, erabiltzen ari den iturburu-helbidea eta helmuga estaltzen zuen baimena dauka. Gehitu denbora, DNS erantzunak txandakatzen baitira eta denbora-markarik gabeko txosten batek eztabaida bera bitan gonbidatzen baitu. Gehitu eskaneatzailearen bertsioa ere, probe-ren jokabide lehenetsia bertsioen artean aldatzen baita. Bi exekuziok metodo desberdinak erabili bazituzten, tratatu esperimentu desberdin gisa eta esan hori izenburuan, ez oin-oharrean.
Etiketatu aurkikuntza dena delakoa: helmuga desberdinak, iturburu-bide desberdinak edo oraindik azaldu gabeko desberdintasuna. Hiztegi horrek eskaneatze-txostena zintzo mantentzen du eta ebazlearen erantzun bat VPN trabatze-gertaera gisa berrargitaratzea eragozten du. Hurrengo pausoa, normalean, helbidea finkatuta duen beste exekuzio bat da, ez eskaneatze zabalagoa.