Nmap Menampilkan Hasil Berbeda lewat VPN? Kunci Targetnya

Dua pemindaian porta pada situs web yang sama bisa berbeda karena nama diresolusi ke alamat lain di antara kedua eksekusi, bukan karena terowongan mengubah apa yang diekspos target. Nama host adalah instruksi pencarian, dan Nmap mengikutinya saat pemindaian. Ketika penyelesai menjawab dengan rekaman lain, pemindaian kedua mengukur mesin yang lain.

Kunci alamat numeriknya dan perbandingan kembali bermakna. Semua hal lain dalam laporan, dari waktu hingga perangkat perantara, tetap menjadi variabel terpisah yang butuh kendali sendiri.

Dua eksperimen yang tampak identik dalam laporan

Bandingkan sebuah nama dengan dirinya sendiri dan Anda telah mengubah setidaknya dua hal sekaligus: jalur yang dilalui paket Anda dan tujuan yang dikembalikan penyelesai. Perbedaan pada keluaran tidak bisa diatribusikan ke salah satunya. Ambiguitas itulah alasan biasa pemindaian sebelum-dan-sesudah berubah menjadi perdebatan yang tak bisa diselesaikan siapa pun.

Bandingkan sebuah alamat dengan dirinya sendiri dan tujuannya tetap secara konstruksi. Apa pun yang masih berbeda termasuk jalur, alamat sumber, penyaringan di antaranya, atau keadaan mesin itu sendiri. Anda telah menghapus satu variabel, yang tidak sama dengan menghapus semuanya.

Catat eksperimen mana dari keduanya yang benar-benar Anda jalankan sebelum menarik kesimpulan apa pun dari tabel porta. Perbedaannya terdengar akademis sampai sebuah laporan mengatakan VPN memblokir porta yang tidak pernah terbuka pada alamat yang Anda tuju kedua kalinya.

Selesaikan dulu, lalu pindai alamat yang Anda catat

Pisahkan resolusi dari penyelidikan agar kedua fakta mendarat di tempat berbeda. Tanyakan kepada sistem apa yang diresolusinya, simpan jawaban itu, lalu berikan alamat literal kepada Nmap. Ulangi dua perintah yang sama dengan terowongan mati dan hidup.

getent hosts scan.example.net
dig +short scan.example.net A
nmap -Pn -sV -p 443,8443 192.0.2.40

Flag -Pn penting di sini, karena host yang mengabaikan probe penemuan akan dilaporkan mati dan hasil kosongnya salah dibaca sebagai porta tertutup. Gunakan -sV hanya terhadap tujuan yang disetujui operator; penyelidikan versi lebih berisik daripada koneksi biasa dan termasuk dalam cakupan tertulis.

Referensi spesifikasi target Nmap menyatakan tegas bahwa nama host diresolusi ke alamat sebelum pemindaian dan bahwa bila beberapa alamat kembali, alat memindai yang pertama kecuali Anda meminta semuanya. Tidak ada yang khusus VPN dalam perilaku itu. DNS terbelah, penyelesai berbeda, atau penyeimbang beban yang menjawab dalam urutan baru menghasilkan efek yang sama tanpa terowongan apa pun.

Simpan nilai hasil resolusi di samping keluaran pemindaian, dengan keluarga alamat, kumpulan flag, dan stempel waktu. Pencarian balik yang mengembalikan nama perusahaan adalah pengamatan lain, bukan bukti backend mana yang menjawab.

Apa yang bisa dan tidak bisa dikatakan status porta yang berubah

Setelah tujuan dikunci, porta yang berubah dari terbuka menjadi tersaring biasanya menunjuk ke jalur. Pikirkan ACL di hulu, firewall stateful, atau penyedia yang memperlakukan keluar terowongan berbeda dari keluar rumahan. Persempit dengan menguji alamat kedua yang disetujui di subnet yang sama bila cakupan mengizinkan, karena mengganti nama host akan memasukkan kembali pertanyaan penyelesai. Satu variabel per eksekusi adalah seluruh metodenya.

Porta yang tetap terbuka sementara spanduk layanan berubah adalah cerita lain. Pola itu cocok dengan front-end yang membagi koneksi ke beberapa backend, dan sebanyak apa pun pemindaian dari pihak Anda tidak akan menyebut penyewa di belakangnya.

Yang tidak pernah dikatakan pemindaian adalah niat. Porta tersaring adalah hasil kebijakan, bukan bukti seseorang menyasar terowongan Anda, dan porta terbuka bukan bukti aplikasi di belakangnya akan melayani Anda. Korelasikan dengan log komponen yang Anda operasikan sebelum menulis salah satu ceritanya.

Catat hasil agar perbandingan bertahan saat ditinjau

Catatan yang berguna memuat nama yang diminta, alamat hasil resolusi beserta keluarganya, flag persisnya, alamat sumber yang dipakai, dan otorisasi yang mencakup tujuan. Tambahkan waktu, karena jawaban DNS berputar dan laporan tanpa stempel waktu mengundang perdebatan yang sama dua kali. Tambahkan juga versi pemindai, karena perilaku probe bawaan bergeser antar rilis. Jika dua eksekusi memakai metode berbeda, perlakukan sebagai eksperimen berbeda dan katakan itu di judul, bukan di catatan kaki.

Beri label temuan sesuai kenyataannya: tujuan berbeda, jalur sumber berbeda, atau perbedaan yang belum dijelaskan. Kosakata itu menjaga laporan pemindaian tetap jujur dan mencegah jawaban penyelesai diterbitkan ulang sebagai peristiwa intersepsi VPN. Langkah berikutnya biasanya satu eksekusi lagi dengan alamat terkunci, bukan pemindaian yang lebih luas.