Nmap mostra resultados distintos a través dunha VPN? Fixa o obxectivo
Un nome de host pode resolverse a outro enderezo unha vez que o túnel está activo. Mantén fixo o obxectivo numérico antes de interpretar calquera cambio nos estados dos portos.
Dous escaneos de portos do mesmo sitio web poden discrepar porque o nome se resolveu a outro enderezo entre as execucións, non porque o túnel cambiase o que expón o obxectivo. Un nome de host é unha instrución de busca, e Nmap séguena no momento do escaneo. Cando o resolutor responde con outro rexistro, o segundo escaneo mediu outra máquina.
Fixa o enderezo numérico e a comparación volve ter sentido. Todo o demais do informe, desde os tempos ata os dispositivos intermedios, segue sendo unha variable aparte que necesita o seu propio control.
Dous experimentos que parecen idénticos nun informe
Compara un nome consigo mesmo e terás cambiado polo menos dúas cousas á vez: a ruta que seguen os teus paquetes e o destino que devolveu o resolutor. Unha diferenza na saída non se pode atribuír a ningunha das dúas. Esa ambigüidade é a razón habitual pola que un escaneo de antes e despois se converte nunha discusión que ninguén pode pechar.
Compara un enderezo consigo mesmo e o destino queda fixado por construción. Todo o que aínda difire pertence á ruta, ao enderezo de orixe, ao filtrado intermedio ou ao estado da propia máquina. Eliminaches unha variable, o que non é o mesmo que eliminalas todas.
Anota cal deses dous experimentos executaches realmente antes de sacar calquera conclusión dunha táboa de portos. A distinción soa académica ata que un informe di que a VPN bloqueou un porto que nunca estivo aberto no enderezo que alcanzaches a segunda vez.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Resolve primeiro e despois escanea o enderezo que rexistraches
Separa a resolución do sondeo para que os dous feitos queden en lugares distintos. Pregunta ao sistema que resolveu, garda esa resposta e despois entrega a Nmap o enderezo literal. Repite os mesmos dous comandos co túnel baixado e levantado.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
O flag -Pn importa aquí, porque un host que ignora as sondas de descubrimento reportaríase como caído e o resultado baleiro leríase mal como un porto pechado. Usa -sV só contra destinos que o operador aprobase; o sondeo de versións fai máis ruído que unha conexión simple e pertence ao alcance escrito.
A referencia de especificación de obxectivos de Nmap di explicitamente que un nome de host se resolve a un enderezo antes de escanear e que, cando volven varios enderezos, a ferramenta escanea o primeiro salvo que pidas todos. Nada dese comportamento é específico da VPN. Un DNS dividido, un resolutor distinto ou un balanceador de carga que responde nunha orde nova producen o mesmo efecto sen túnel ningún.
Mantén o valor resolto xunto á saída do escaneo, coa familia de enderezos, o conxunto de flags e unha marca de tempo. Unha busca inversa que devolve o nome dunha empresa é outra observación, non unha proba de que backend respondeu.
Que pode e que non pode dicirche un estado de porto cambiado
Unha vez fixado o destino, un porto que pasa de aberto a filtrado adoita sinalar a ruta. Pensa nunha ACL augas arriba, unha devasa con estado ou un provedor que trata a saída do túnel de forma distinta á saída residencial. Acótao probando un segundo enderezo aprobado na mesma subrede cando o alcance o permita, porque cambiar o nome de host reintroduciría a pregunta do resolutor. Unha variable por execución é todo o método.
Un porto que segue aberto mentres cambia o banner do servizo é outra historia. Ese patrón encaixa cun front-end que reparte conexións entre backends, e ningunha cantidade de escaneo do teu lado nomeará o inquilino que hai detrás.
O que o escaneo nunca di é a intención. Un porto filtrado é un resultado de política, non unha proba de que alguén sinalase o teu túnel, e un porto aberto non é unha proba de que a aplicación de detrás che vaia servir. Correlaciona cos rexistros do compoñente que operas antes de escribir calquera das dúas historias.
Rexistra os resultados para que a comparación sobreviva á revisión
Un rexistro útil contén o nome solicitado, o enderezo resolto e a súa familia, os flags exactos, o enderezo de orixe en uso e a autorización que cubría o destino. Engade a hora, porque as respostas DNS rotan e un informe sen marcas de tempo invita a mesma discusión dúas veces. Engade tamén a versión do escáner, porque o comportamento de sondeo por defecto cambia entre versións. Se dúas execucións usaron métodos distintos, trátaas como experimentos distintos e dío no encabezado, non na nota ao pé.
Etiqueta o achado polo que é: destinos distintos, rutas de orixe distintas ou unha diferenza aínda sen explicar. Ese vocabulario mantén honesto un informe de escaneo e evita que unha resposta do resolutor se volva publicar como un evento de interceptación de VPN. O seguinte paso adoita ser outra execución co enderezo fixado, non un escaneo máis amplo.