Az Nmap nyers vizsgálata nem működik VPN-en át, de a -sT kapcsolat igen?

Egy lap betöltődik az alagúton, miközben egy portvizsgálat elérhetetlennek jelenti a gazdagépet, és az első gondolat az, hogy a VPN blokkol valamit. Általában semmi újat nem blokkol. A két teszt különböző képességeket kér az operációs rendszertől, és csak az egyiküknek van szüksége nyers csomaghozzáférésre. Állapítsa meg, melyik képesség hibázott, mielőtt hozzányúl az alagúthoz.

Válassza külön a képességet az alagúttól

Egy közönséges alkalmazás a kerneltől TCP-kapcsolat megnyitását kéri, és a kernel külön jogosultság nélkül végzi el a kézfogást. A nyers vizsgálat maga építi a csomagokat, ami platformtól függően nyers socketet vagy rögzítő illesztőprogramot igényel. Ezek engedély- és illesztőprogram-kérdések, és attól függetlenül fennállnak, hogy csatlakozik-e VPN.

Ez a különbség magyarázza a szokásos aszimmetriát. A curl azért sikerül, mert a socket útvonala működik, míg az SYN-vizsgálat azért hibázik, mert a folyamat nem tud nyers socketet nyitni az alagút interfészén. Ugyanez magyarázza a fordított esetet is, amikor a nyers vizsgálat szűrtnek jelent, mert az útvonal eldobja a szondát, miközben az alkalmazás útvonala rendben marad.

Egyik eredmény sem írja le a távoli szolgáltatást. Mindkettő egy útvonalat ír le egy módszer alatt, ezért tartsa a módszert a következtetéshez kötve.

Futtassa a kapcsolatellenőrzést egyetlen engedélyezett gazdagépen

Válassza ki az egyetlen gazdagépet, amelyre a feladata kiterjed, majd használja azt a módot, amely nem igényel nyers hozzáférést. A példa célpontja itt 198.51.100.24, az ilyen szemléltetésre fenntartott dokumentációs tartomány.

Egy sor, egy gazdagép, egy port, felfedezési szakasz nélkül:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

A -sT teljes TCP-kapcsolatot választ, így ugyanazt a kernelútvonalat gyakorolja, amelyet egy alkalmazás használ, és nem igényel rögzítő illesztőprogramot. A -Pn kihagyja a gazdagépfelfedezést; az nmap azonban továbbra is végez kapcsolati rétegű feloldást a helyi szegmens célpontjaihoz, tehát a kapcsoló nem ígér nulla előzetes forgalmat. A --unprivileged azt mondja az nmapnek, hogy feltételezze: nincs nyers vagy lehallgatási joga, ami megváltoztatja a módszert, és semmit nem ad.

Minden kapcsolót egyetlen változásként olvasson, ne javításként

Tekintsen minden beállítást a módszerre vonatkozó állításként. Sem a -sT, sem a -Pn, sem a --unprivileged nem ad hozzá útvonalat, nem nyit távoli tűzfalat és nem ellenőriz tanúsítványt. A kapcsolatvizsgálat valódi kézfogást is végrehajt, amelyet a szolgáltatás naplóz, ezért az engedélyezett ellenőrzés és az engedély nélküli pásztázás a szerver felől nézve csak hatókörben és ütemben tér el. A kapcsolók halmozása addig, amíg a kimenet nem változik, az az út, ahogyan egy módszerprobléma hálózati leletként rögzül.

Amikor a kimenet zártat mond, valami visszaállítással válaszolt, és ez más lelet, mint a csend. Amikor a kimenet szűrtet mond, egy eszköz eldobta a szondát vagy annak válaszát, és a VPN lehet mellékes. Jegyezze fel a pontos megfogalmazást, mert a felfedezési szakasz ítélete és a szonda szintjén bekövetkező hiba különböző rétegekre mutat.

Ha valóban jogosultságos módra van szükség, a platform tulajdonosa dönti el, hogy támogatott-e a jogosultság, az illesztőprogram és az interfészek elrendezése. Ugyanazon hívás emelése nem változtatja meg a módszerét.

Álljon meg a szállítási eredménynél, majd tesztelje a szolgáltatást

Egy befejezett kézfogás egyetlen kérdésre válaszol egyetlen címről, portról, forrásról és pillanatról. Nem bizonyítja, hogy a háttérrendszer egészséges, mert egy terheléselosztó vagy előtét-proxy elfogadhatja a kapcsolatot, miközben a mögötte lévő alkalmazás áll.

Folytassa a szolgáltatás saját klienstével, hogy a TLS-identitás és az alkalmazás viselkedése külön tényként legyen megfigyelhető:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Még egy szokás hasznossá teszi az eredményt. Jegyezze fel a pontos parancsot, a használt forráscímet és az időpontot, mert e kontextus nélkül a szállítási eredmény nem reprodukálható és nem hasonlítható össze.

Ha a tanúsítvány olyan gazdagépet nevez meg, amelyre nem számított, a szállítás működött, és az útiválasztás soha nem volt a probléma; a hiba a virtuális tárhelyen vagy a DNS-ben van. Ha a kézfogás meghiúsul, jegyezze fel a helyi hibaszöveget ahelyett, hogy általánosítana az alagútról. Tartsa a hatóköri megjegyzést az eredmény mellett, mert a következő embernek tudnia kell, melyik módszer hozta létre.