Hvers vegna breytast niðurstöður portskönnunar bak við VPN-útgang?
Breyttu útgangnum og port getur svarað öðruvísi án þess að þjónustan hreyfist. Aðskildu athugun slóðarinnar frá birgðunum sem þú þarft í raun.
Keyrðu sömu portprófun frá skrifstofulínu og frá VPN-útgangi, og svörin tvö geta verið ósammála um vistfang sem enginn breytti. Það bil kemur frá slóðinni og frá því hvaða hýsill svaraði, ekki frá því hvort þjónustan er í gangi. Þrjár spurningar aðskilja þessar skýringar: hvað prófið spurði í raun, hvaða hýsill svaraði því, og hvað eigin þjónn þinn skráði. Farðu í gegnum þær í þeirri röð og skrifaðu hvert svar niður áður en þú ferð í það næsta.
Lagaðu prófið áður en þú berð saman tvær keyrslur
Stöðuorð er aðeins samanburðarhæft við annað stöðuorð þegar bæði koma úr sama tilraun. Fimm svið festa það: upprunavistfangið sem fjarlæga hliðin sá, leysta áfangastaðinn, portið, skönnunartegundina og tímann. Breyttu hverju þeirra og þú hefur gert aðra tilraun í stað þess að mæla þá fyrstu tvisvar.
Athugaðu upprunann fyrir allt annað, því VPN-viðskiptavinur getur verið í gangi á meðan umferðin fer samt út um líkamlega tengið. Spurðu fjarlægu hliðina hvað hún sér, spurðu svo kjarnann hvaða tengi hann valdi:
curl -s https://ifconfig.me
ip route get 203.0.113.20Tvö vistföng á mismunandi netum þýða að skýringin er þegar í höndunum, og restin af þessum prófunum mun aðeins staðfesta hana. Þegar þau stemma, skráðu prófið með orsakarmerkinu kveiktu, svo staðan komi til baka tengd skýringu í stað þess að standa ein sem bert orð. Skönnunartegundin tilheyrir líka þeirri skrá, því hún lýsir því sem var spurt, ekki því sem kom til baka. Staða án uppruna, án aðferðar og án tímastimpils er ekki samanburðarhæf við neitt:
nmap -sT -p 443,8443 --reason 203.0.113.20Haltu þessari útkomu við hlið skrárinnar í stað þess að hafa hana í skrunbiðminni sem næsti maður getur ekki séð. Tvær heiðarlegar skannanir sem greinir á eru aðeins rökræða þegar enginn skrifaði skilyrðin niður. Þegar skilyrðin eru fest, annaðhvort stemma niðurstöðurnar og spurningunni er lokað, eða þær eru ólíkar og munurinn er staðreynd um slóðina.
Finndu út hvaða hýsill kláraði handabandið
Klárað handaband sannar að einhver hýsill kláraði það, og sá hýsill þarf ekki að vera ferlið sem þú hefur í huga. Hleðsludreifir, öfugur milliþjónn eða SYN-milliþjónn geta svarað áður en raunverulegi þjónninn kemur við sögu, sem er venjuleg hönnun en ekki einkenni. Gilt skírteini fyrir væntanlegt nafn þrengir þetta ekki heldur, því skírteini lýsir þjónustusambandi og segir ekkert um hvaða vél lauk tengingunni.
Nmap-viðmiðunin um portstöður lítur á þetta sem grundvallaratriði: staða skráir það sem prófið gat séð frá þeim stað sem það var sent frá, ekki eiginleika portsins. Lestu stöðuorð þannig og tvær keyrslur sem greindi á fara að líta samkvæmar út í stað mótsagnakenndra, á meðan spurningin færist frá því hvort portið sé opið yfir í hver stóð fyrir framan það.
Svaraðu annarri spurningunni í bakendanum en ekki að utan. Framendi sem tekur við tengingum og nær svo ekki uppstreyminu sínu framleiðir nákvæmlega ytra mynd heilbrigðrar þjónustu með hægu forriti. Aðeins eigin skrá uppstreymsins aðskilur þessi tvö tilvik:
tail -n 5 /var/log/nginx/access.log
ss -ltnp 'sport = :443'Loggröðin sýnir það biðlaravistfang sem forritið sá í raun, og önnur skipunin sýnir hvort ferlið sem heldur portinu 443 er forritið þitt eða eitthvað fyrir framan það. Ef þau tvö greinir á um hvaða vistfang tengdist ertu að skoða tvo fætur einnar beiðni og miðinn ætti að segja það.
Athugaðu þínar eigin reglur áður en þú kennir göngunum um
Viljandi stefna er algengasta ástæðan fyrir því að port svarar á einu neti en ekki öðru, og það er óspennandi skýringin sem er í boði. Aðgangsreglur eru til að leyfa eina uppsprettu og henda restinni, svo breyting á útgangi er einmitt atburðurinn sem þær voru skrifaðar fyrir. Þess vegna sýnir önnur staða í gegnum VPN ekki að þjónustuveitandinn skoði umferð. Hún sýnir að upprunavistfang þitt er nú annað, sem er miklu minni fullyrðing.
Þessar reglur er hægt að lesa á þjóninum, svo lestu þær í stað þess að giska á miðju netsins. Listaðu síureglurnar sem nefna sitt hvort vistfangasviðið, athugaðu svo hvort tengingin náði yfirhöfuð til dæmonsins:
nft list ruleset | grep -n -e 203.0.113 -e 198.51.100
journalctl -u sshd -n 50 | grep 203.0.113Tóm önnur niðurstaða er upplýsandi, því ekkert náði til dæmonsins og spurningin tilheyrir síu, öryggishópi eða slóðinni sjálfri. Högg þýðir að þjónustan sá uppsprettuna þína og valdi svar sitt, og sú ákvörðun er venjulega skrifuð í reglu sem þú getur lesið. Önnur niðurstaðan styður ekki sögu um þjónustuveitandann, og báðar eru ódýrari í athugun en pakkafanga.
Lestu flutning, skírteini og svar hver fyrir sig
Þrjú lög framleiða þrjár athuganir, og próf sem prófar eitt þeirra getur ekki greint frá hinum tveimur. Haltu þeim sem aðskildum línum í skránni í stað þess að brjóta þær saman í eina úrskurði, því hver lína bregst á sinn hátt og bilunarhátturinn segir þér hvert þú átt að líta næst.
| Observation | What it settles | What it leaves open |
|---|---|---|
| Connection completed | A host on the path accepted the handshake | Which host, and whether its upstream is reachable |
| Certificate valid for the name | The endpoint holds a credential for that name | Whether the process behind it is the one you meant |
| Expected response body | The application handled the request | Anything about other ports or other paths |
| Connection refused | A host replied and nothing was listening | Whether a filter sits ahead of the refused port |
| Timeout | No reply arrived before the deadline | Drop, blackhole route or an overloaded host |
Ein skipun framleiðir fyrstu þrjár raðirnar gegn þjónustu sem þú stýrir. Settu útkomuna í skrána við hlið skönnunarinnar en ekki í spjallskilaboð:
curl -v --resolve office.example:443:203.0.113.20 https://office.example/Lestu útkomuna í röð: handabandið svarar flutningsspurningunni, skírteinisefnið svarar nafnspurningunni og svarhlutinn svarar forritsspurningunni. Þegar handabandslínan heppnast en svarlínan ekki hefurðu framenda með brotið uppstreymi en ekki lokað port. Það er annar miði en sá sem þú opnaðir, og það er þess virði að segja það skýrt.
Ljúktu með því að skrifa fjórar staðreyndir á miðann: upprunavistfang, skönnunartegund, hýsilinn sem svaraði og tímann. Allt sem síðari samanburður þarf lifir í þessum fjórum, og hver sem tekur málið næst mun ekki hafa sögu terminalsins þíns. Ef þú getur ekki fyllt út alla fjóra er keyrslan ekki lokið.