Nmap-rouscan mislearret oer in VPN, mar -sT-ferbining wurket?

In side lade troch de tunnel wylst in portscan de host as del meldt, en de earste yntuïte is dat de VPN eat blokkearret. Meastentiids blokkearret dy neat nijs. De twa tests freegje it bestjoeringssysteem om ferskillende mooglikheden, en mar ien fan harren hat rûge pakketta tagong nedich. Sjoch út hokker mooglikheid mislearre is foardatst de tunnel oanrekest.

Skied de mooglikheid fan de tunnel

In gewoane applikaasje freget de kernel om in TCP-ferbining te iepenjen, en de kernel docht de hânskoeking sûnder spesjaal rjocht. In rûge scan bout de pakketten sels, wat in rûge socket of in opname-stjoerder nedich hat, ôfhinklik fan it platfoarm. Dat binne fragen oer tastimmingen en stjoerders, en dy besteane oft der no in VPN ferbûn is of net.

Dit ônderskied ferklearret de gewoane asymmetry. curl slagget om't it socketpaad wurket, wylst de SYN-scan mislearret om't it proses gjin rûge socket op 'e tunnelinterface iepenje kin. It ferklearret ek it omkearde gefal, wêr't in rûge scan filtere meldt om't it paad de probe falle lit wylst it applikaasjepaad goed bliuwt.

Gjin fan beide resultaten beskriuwt de ôfstânstsjinst. Beide beskriuwe ien paad ûnder ien metoade, dus hâld de metoade oan de konklúzje fêest.

Rin de ferbiningskontrôle op ien goedkarde host

Kies de iene host dy't dyn taak beslacht, en brûk dan de modus dy't gjin rûge tagong nedich hat. It foarbylddoel hjir is 198.51.100.24, dokumentaasjeromte reservearre foar dit soarte yllustraasje.

Ien rigel, ien host, ien poarte, gjin ûntdekkingsfase:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT selektearret in folsleine TCP-ferbining, dus it brûkt itselde kernelpaad as in applikaasje en hat gjin opname-stjoerder nedich. -Pn slacht hostûntdekking oer; nmap docht noch altyd linklaach-oplossing foar doelen op it lokale segmint, dus de flag is gjin belofte fan nul foarôfgeand ferkear. --unprivileged fertelt nmap om oan te nimmen dat it gjin rûge of snuffelrjochten hat, wat de metoade feroaret en neat jout.

Lês elke flag as ien feroaring, net as in repaaraasje

Behannelje elke opsje as in útspraak oer de metoade. Gjin fan -sT, -Pn of --unprivileged foeget in rûte ta, iepenet in ôfstân firewall of falidearret in sertifikaat. In ferbiningsscan foltôget ek in echte hânskoeking dy't de tsjinst logt, dus in goedkarde kontrôle en in net-goedkarde feeg sjogge der fan 'e server itselde út, útsein kwa omfang en tempo. Opsjes opinoar stapelje oant de útfier feroaret is hoe't in metodeprobleem as netwurksbevening fêstlein wurdt.

As de útfier sletten seit, hat eat mei in reset antwurde, en dat is in oare bevening as stilte. As de útfier filtere seit, hat in apparaat de probe of syn antwurd falle litten, en de VPN kin tafallich wêze. Skriuw de krekte bewurding op, want in oardiel fan 'e ûntdekkingsfase en in flater op probenivo wize op ferskillende lagen.

As in befoarrjochte modus echt nedich is, beslút de platfoarmeigner oft it rjocht, de stjoerder en de interface-yndieling stipe wurde. Deselde oanrop ferheegje feroaret syn metoade net.

Stop by it transportresultaat, en test dan de tsjinst

In foltôge hânskoeking beantwurdet ien fraach oer ien adres, poarte, boarne en momint. It bewiist net dat de backend sûn is, want in loadbalancer of foarproxy kin de ferbining oanfine wylst de applikaasje dêr efter del is.

Folgje it mei de eigen klant fan 'e tsjinst, sadat TLS-identiteit en applikaasjegedrach as aparte feiten waarnommen wurde:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Noch ien gewoante hâldt it resultaat nuttich. Skriuw it krekte kommando op, it boarne-adres dat it brûkte en de tiid, want in transportresultaat sûnder dy kontekst kin net werhelle of fergelike wurde.

As it sertifikaat in host neamt dy'tst net ferwachte, hat it transport wurke en wie routing nea it probleem; de flater sit yn firtuele hosting of DNS. As de hânskoeking mislearret, skriuw dan de lokale flatersnaar op ynstee fan te generalize oer de tunnel. Hâld de omfangsnotysje njonken it resultaat, want de folgjende persoan moat witte hokker metoade it makke hat.