Un escaneo de portos non pode dicir quen acepta o inicio de sesión

Tres preguntas confúndense cando alguén axita un escaneo de portos diante dun problema de VPN: se algo é alcanzable, se é o servizo que vostede cre e se aceptará a súa identidade. O escáner responde a primeira e sinala vagamente a segunda. A terceira non pode respondela de ningún xeito, porque aceptar unha credencial non é o que fai unha sonda de transporte. Decida que pregunta fai antes de ler a saída.

A ferramenta non está equivocada; responde unha pregunta máis estreita que a que está sobre a mesa.

Un socket aberto é un feito sobre un socket

Unha conexión TCP correcta significa que algo aceptou ese extremo. Non establece que o oínte sexa o servizo VPN previsto, que o certificado presentado coincida co nome que espera, nin que a verificación TLS vaia pasar. Unha páxina de administración da pasarela no mesmo nome de host é un servizo completamente distinto e non demostra nada sobre o túnel. Trate o resultado como un feito de alcanzabilidade e nada máis.

Onde a sonda si axuda é a descartar cousas. Se nada acepta a conexión desde onde vostede está, o saúdo non pode ter éxito, e iso reduce a busca á alcanzabilidade antes que a calquera outra cousa.

O silencio de UDP ten varias explicacións

Os protocolos UDP poden ignorar lexitimamente os paquetes que non están autenticados, así que unha resposta ausente non é un veredicto. Pode significar filtrado na ruta, un extremo pechado ou un servizo que queda calado a propósito ata recibir algo válido. Ler o silencio como un porto pechado envía a xente ás regras da devasa cando a falla real está no perfil. Repita a sonda desde outra rede antes de sacar calquera conclusión.

A ambigüidade é unha propiedade do protocolo, non unha carencia da ferramenta. Dígao claramente cando informe o resultado, porque unha resposta equivocada e segura é peor ca unha correcta e incerta.

A decisión de confianza segue a ser súa

Un porto aberto non toma a decisión de confianza, así que o resultado dun escáner non é motivo para desactivar as comprobacións de certificados. Esa verificación existe para responder se chegou ao par que pretendía, e un escáner non o respondeu. Use o perfil e o cliente reais do operador para a identidade e a autenticación, e despois deixe a configuración de verificación exactamente como estaba.

Se o escaneo di aberto e o saúdo falla, a parte interesante da falla está no saúdo, non no escaneo.

Probe o intercambio, despois a ruta

Cando a autenticación teña éxito, inspeccione as etapas seguintes por separado: asociación de datos, rutas instaladas e acceso de aplicacións. Cada unha pode fallar mentres a anterior parecía san, e cada unha ten a súa propia evidencia. Correlacionar os rexistros do cliente e do oínte con capturas estreitas ou contadores dá un diagnóstico de ruta que o escaneo repetido nunca dará. Manteña o perfil e o extremo fixos ao comparar redes e anote onde se detén a negociación.

Manteña tamén o alcance do diagnóstico autorizado. Sondar sistemas que non son seus non é unha técnica de resolución de problemas, diga o que diga a ferramenta sobre o resultado.

O escaneo responde a alcanzabilidade. A autenticación necesita unha credencial e a ruta necesita un paquete. Un escáner pode informar dun porto aberto mentres o servizo rexeita cada inicio de sesión, e pode informar dun porto pechado mentres unha sesión válida funciona desde outra rede. Trate o resultado como unha observación sobre unha ruta e despois probe a credencial e a ruta de volta por separado.