Az Nmap más eredményeket mutat VPN-en át? Rögzítse a célt
Egy hosztnév a tunel felállása után más címre oldódhat fel. Tartsa rögzítve a numerikus célt, mielőtt bármit is belemagyarázna a megváltozott portállapotokba.
Ugyanazon webhely két portszkennelése eltérhet, mert a név a futások között más címre oldódott fel, nem azért, mert a tunel megváltoztatta, mit tesz közzé a cél. A hosztnév keresési utasítás, és az Nmap a szkennelés idején követi. Amikor a feloldó más rekorddal válaszol, a második szkennelés más gépet mért.
Rögzítse a numerikus címet, és az összehasonlítás ismét értelmet nyer. A jelentés minden egyéb eleme, az időzítéstől a köztes eszközökig, külön változó marad, amely saját ellenőrzést igényel.
Két kísérlet, amely egy jelentésben azonosnak látszik
Hasonlítsa össze a nevet önmagával, és legalább két dolgot egyszerre változtatott meg: az útvonalat, amelyen a csomagjai haladnak, és a célt, amelyet a feloldó visszaadott. A kimenet eltérése egyiknek sem tulajdonítható. Ez a kétértelműség a szokásos oka annak, hogy az előtte-utána szkennelés olyan vitává válik, amelyet senki sem tud lezárni.
Hasonlítsa össze a címet önmagával, és a cél konstrukció szerint rögzített. Minden, ami még eltér, az útvonalhoz, a forráscímhez, a köztes szűréshez vagy a gép saját állapotához tartozik. Eltávolított egy változót, ami nem ugyanaz, mint mindet eltávolítani.
Írja le, melyik kísérletet futtatta valójában, mielőtt bármilyen következtetést levon egy porttáblából. A különbség akadémikusnak hangzik, amíg egy jelentés azt nem mondja, hogy a VPN blokkolt egy portot, amely soha nem volt nyitva azon a címen, amelyet másodszor elért.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Először oldja fel, aztán szkennelje a rögzített címet
Válassza külön a feloldást a szondázástól, hogy a két tény külön helyre kerüljön. Kérdezze meg a rendszert, mit oldott fel, mentse el a választ, majd adja meg az Nmapnak a szó szerinti címet. Ismételje meg ugyanazt a két parancsot leeresztett és felállított tunellel.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
A -Pn kapcsoló itt számít, mert egy hoszt, amely figyelmen kívül hagyja a felderítő szondákat, egyébként elérhetetlenként jelenne meg, és az üres eredményt zárt portként olvasnák félre. A -sV kapcsolót csak az üzemeltető által jóváhagyott célok ellen használja; a verziószondázás hangosabb egy puszta kapcsolatnál, és az írásos hatókörbe tartozik.
Az Nmap célmegadási referenciája világosan kimondja, hogy a hosztnév szkennelés előtt címmé oldódik fel, és hogy több visszaadott cím esetén az eszköz az elsőt szkenneli, hacsak nem kéri mindet. Ebben a viselkedésben semmi sem VPN-specifikus. A megosztott DNS, egy másik feloldó vagy az új sorrendben válaszoló terheléselosztó tunel nélkül is ugyanezt a hatást kelti.
Tartsa a feloldott értéket a szkennelési kimenet mellett, a címcsaláddal, a kapcsolókészlettel és időbélyeggel. Az a fordított keresés, amely cégnevet ad vissza, újabb megfigyelés, nem bizonyíték arra, melyik háttérrendszer válaszolt.
Mit mondhat és mit nem mondhat el a megváltozott portállapot
Miután a cél rögzítve van, a nyitottból szűrtté váló port általában az útvonalra utal. Gondoljon egy felsőbb ACL-re, állapotfenntartó tűzfalra vagy olyan szolgáltatóra, amely a tunel kimenő forgalmát másként kezeli, mint az otthoni kimenő forgalmat. Szűkítse ezt egy második jóváhagyott cím tesztelésével ugyanabban az alhálózatban, amikor a hatókör engedi, mert a hosztnév cseréje visszahozná a feloldó kérdését. Egy változó futásonként az egész módszer.
A port, amely nyitva marad, miközben a szolgáltatás bannere megváltozik, más történet. Ez a minta egy háttérrendszerek között kapcsolatokat elosztó frontendre illik, és az Ön oldaláról semmilyen mennyiségű szkennelés nem nevezi meg a mögötte lévő bérlőt.
Amit a szkennelés soha nem mond el, az a szándék. A szűrt port szakpolitikai eredmény, nem bizonyíték arra, hogy valaki kijelölte a tuneljét, és a nyitott port nem bizonyíték arra, hogy a mögötte lévő alkalmazás kiszolgálja Önt. Korrelálja az Ön által üzemeltetett összetevő naplóival, mielőtt bármelyik történetet megírja.
Rögzítse az eredményeket, hogy az összehasonlítás túlélje a felülvizsgálatot
Egy hasznos rekord tartalmazza a kért nevet, a feloldott címet és annak családját, a pontos kapcsolókat, a használt forráscímet és a célt lefedő engedélyt. Adja hozzá az időt, mert a DNS-válaszok forognak, és az időbélyegek nélküli jelentés kétszer hívja meg ugyanazt a vitát. Adja hozzá a szkennelő verzióját is, mert az alapértelmezett szondázási viselkedés kiadások között elmozdul. Ha két futás különböző módszereket használt, tekintse őket különböző kísérleteknek, és mondja ezt a címben, ne a lábjegyzetben.
Címkézze a leletet annak, ami: különböző célok, különböző forrásútvonalak vagy még meg nem magyarázott eltérés. Ez a szókincs őszintén tartja a szkennelési jelentést, és megakadályozza, hogy egy feloldó válasza VPN-elfogási eseményként újra megjelenjen. A következő lépés általában még egy futás rögzített címmel, nem szélesebb szkennelés.