VPN чыгуусунун артында порт скандоо жыйынтыктары эмнеге өзгөрөт?
Чыгууну өзгөртүңүз, кызмат ордунан козголбосо да порт башкача жооп бере алат. Жолду байкоону сизге чындап керек болгон тизмеден бөлүңүз.
Ошол эле порт текшерүүсүн кеңсе линиясынан жана VPN чыгуусунан иштетиңиз, эки жооп эч ким өзгөртпөгөн дарек жөнүндө макул болбой калышы мүмкүн. Бул айырма маршруттан жана кайсы хост жооп бергенинен келет, кызматтын иштешинен эмес. Үч суроо бул түшүндүрмөлөрдү ажыратат: зонд чындыгында эмнени сурады, кайсы хост жооп берди жана сиздин сервериңиз эмнени жазды. Аларды ушул тартипте өтүп, кийинкиге өтүүдөн мурун ар бир жоопту жазып коюңуз.
Эки жүгүртүүнү салыштыруудан мурун зондду оңдоңуз
Абал сөзүн башка абал сөзү менен салыштырууга экөө тең бир эксперименттен чыкканда гана болот. Беш талаа аны бекитет: алыс жак көргөн булак дареги, чечилген барар жери, порт, скандоо түрү жана убакыт. Алардын кайсынысын болсо да өзгөртсөңүз, биринчисин эки жолу өлчөөнүн ордуна экинчи эксперимент жасадыңыз.
Булакты бардыгынан мурун текшериңиз, анткени VPN кардары күйүп турушу мүмкүн, ал эми трафик дагы эле физикалык интерфейстен чыгып жатат. Алыс жактан эмнени көрүп жатканын сураңыз, анан ядродон кайсы интерфейсти тандаганын сураңыз:
curl -s https://ifconfig.me
ip route get 203.0.113.20Ар башка тармактардагы эки дарек түшүндүрмө буга чейин колдо дегенди билдирет, калган текшерүүлөр аны тастыктайт. Алар дал келгенде, зондду себеп желекчеси күйүк абалда жазып алыңыз, абал жылаңач сөз катары жалгыз турбастан түшүндүрмөгө байланган бойдон кайтсын. Скандоо түрү да ошол жазууга таандык, анткени ал эмнени сураганын сүрөттөйт, эмне кайтканын эмес. Булагы, ыкмасы жана убакыт белгиси жок абалды эч нерсе менен салыштырууга болбойт:
nmap -sT -p 443,8443 --reason 203.0.113.20Бул чыгарылышты жазуунун жанында сактаңыз, кийинки адам көрө албаган айландыруу буферинде эмес. Макул болбогон эки чынчыл скандоо эч ким шарттарды жазбаганда гана талаш болот. Шарттар бекитилгенде, же жыйынтыктар дал келип суроо жабылат, же алар башкача болот жана айырма жол жөнүндө факт болуп саналат.
Кайсы хост кол алышууну бүткөнүн аныктаңыз
Бүткөн кол алышуу аны кандайдыр бир хост бүткөнүн далилдейт, жана ал хост сиз ойлогон процесс болушу милдеттүү эмес. Жүк теңдеткич, тескери прокси же SYN прокси чыныгы сервер катышканга чейин жооп бере алат, бул кадимки долбоорлоо, симптом эмес. Күтүлгөн ат үчүн жарактуу сертификат да муну тарайтпайт, анткени сертификат кызмат мамилесин сүрөттөйт жана кайсы машина байланышты бүткөнү жөнүндө эч нерсе айтпайт.
Nmap порт абалдарынын маалымдамасы муну негизги деп эсептейт: абал зонд жөнөтүлгөн жерден эмнени байкай алганын жазат, порттун касиетин эмес. Абал сөзүн ушинтип окуңуз, анда макул болбогон эки жүгүртүү карама-каршы эмес, ырааттуу көрүнө баштайт, ал эми суроо порт ачыкпы дегенден анын алдында ким турганына өтөт.
Экинчи суроого сырттан эмес, бэкендде жооп бериңиз. Байланыштарды кабыл алып, анан өзүнүн жогорку агымына жете албаган фронтенд жай колдонмосу бар ден соолугу чың кызматтын так сырткы көрүнүшүн жаратат. Жогорку агымдын өз жазуусу гана эки учурду ажыратат:
tail -n 5 /var/log/nginx/access.log
ss -ltnp 'sport = :443'Журнал сабы колдонмо чындыгында көргөн кардар дарегин көрсөтөт, экинчи буйрук 443 портун кармап турган процесс сиздин колдонмоңузбу же анын алдындагы нерсеби, ошону көрсөтөт. Эгер экөө кайсы дарек туташканы жөнүндө макул болбосо, сиз бир сурамдын эки бут тарабын көрүп жатасыз жана билет ошону айтышы керек.
Туннелди күнөөлөөдөн мурун өз эрежелериңизди текшериңиз
Атайын саясат порттун бир тармакта жооп берип, экинчисинде бербей калышынын эң көп кездешкен себеби, жана бул жеткиликтүү түшүндүрмөлөрдүн эң кызыксызы. Жетүү эрежелери бир булакка уруксат берип, калганын таштоо үчүн бар, ошондуктан чыгуунун өзгөрүшү так ошол окуя, алар ошол үчүн жазылган. Ошондуктан VPN аркылуу башка абал провайдердин трафикти текшерерин көрсөтпөйт. Ал сиздин булак дарегиңиз азыр башка экенин көрсөтөт, бул алда канча кичине билдирүү.
Бул эрежелерди серверден окууга болот, ошондуктан тармактын ортосу жөнүндө божомолдонгонуңуздун ордуна аларды окуңуз. Эки дарек диапазонунун кайсынысын болсо да эскерген чыпка эрежелерин тизмелеп чыгыңыз, анан байланыш демонго жеттиби, ошону текшериңиз:
nft list ruleset | grep -n -e 203.0.113 -e 198.51.100
journalctl -u sshd -n 50 | grep 203.0.113Бош экинчи жыйынтык маалыматтуу, анткени демонго эч нерсе жеткен жок жана суроо чыпкага, коопсуздук тобуна же жолдун өзүнө таандык. Тийүү кызмат сиздин булагыңызды көрүп, өз жообун тандаганын билдирет, жана бул чечим адатта окууга боло турган эрежеде жазылат. Эки жыйынтыктын экөө тең провайдер жөнүндөгү окуяны колдобойт, жана экөөнү тең пакет кармоодон арзан текшерүүгө болот.
Транспортту, сертификатты жана жоопту өз-өзүнчө окуңуз
Үч катмар үч байкоо жаратат, жана алардын бирин сынаган зонд калган экөө жөнүндө отчёт бере албайт. Аларды жазууда өзүнчө саптар катары кармаңыз, бир өкүмгө бүктөөнүн ордуна, анткени ар бир сап өзүнчө ишке ашпайт жана ишке ашпоо режими кийинкиде кайда кароону айтат.
| Observation | What it settles | What it leaves open |
|---|---|---|
| Connection completed | A host on the path accepted the handshake | Which host, and whether its upstream is reachable |
| Certificate valid for the name | The endpoint holds a credential for that name | Whether the process behind it is the one you meant |
| Expected response body | The application handled the request | Anything about other ports or other paths |
| Connection refused | A host replied and nothing was listening | Whether a filter sits ahead of the refused port |
| Timeout | No reply arrived before the deadline | Drop, blackhole route or an overloaded host |
Бир буйрук сиз башкарган кызматка каршы алгачкы үч сапты жаратат. Анын чыгарылышын чат билдирүүсүнө эмес, скандоонун жанындагы жазууга коюңуз:
curl -v --resolve office.example:443:203.0.113.20 https://office.example/Чыгарылышты тартип менен окуңуз: кол алышуу транспорт суроосуна жооп берет, сертификаттын субъектиси ат суроосуна, ал эми жооптун денеси колдонмо суроосуна. Кол алышуу сабы ийгиликтүү болуп, жооп сабы ийгиликсиз болгондо, сизде бузулган жогорку агымы бар фронтенд бар, бөгөттөлгөн порт эмес. Бул сиз ачкан билеттен башка билет, жана муну ачык айтууга татыктуу.
Билетке төрт факты жазуу менен бүтүрүңүз: булак дареги, скандоо түрү, жооп берген хост жана убакыт. Кийинки салыштырууга керек болгон нерсенин баары ушул төртөөндө жашайт, жана ишти кийинки алган адамда сиздин терминал тарыхыңыз болбойт. Эгер төртөөнү толтура албасаңыз, жүгүртүү бүткөн жок.