Firwat änneren sech d’Portscan-Resultater hannert engem VPN-Ausgang?
Ännert den Ausgang an e Port kann anescht äntweren, ouni datt sech den Déngscht beweegt. Trennt d’Observatioun vum Wee vun der Inventar, déi dir tatsächlech braucht.
Fëllt déiselwecht Portkontroll vun enger Büroslinn an vun engem VPN-Ausgang aus, an déi zwou Äntwerten kënnen sech iwwer eng Adress net eens sinn, déi kee geännert huet. Dës Lück kënnt vum Wee a vun där engem Host, dee geäntwert huet, net dovun, ob den Déngscht leeft. Dräi Froen trennen déi Erklärungen: wat de Probe tatsächlech gefrot huet, wéien Host geäntwert huet, a wat Äre eigenen Server opgezeechent huet. Gitt se an där Reihenfolg duerch a schreift all Äntwert op, ier Dir zur nächster gitt.
Reparéiert de Probe, ier Dir zwou Leefer vergläicht
E Zustandswuert ass nëmme mat engem aneren Zustandswuert vergläichbar, wann déi zwou aus deem selwechten Experiment kommen. Fënnef Felder maachen dat fest: d’Quelladress, déi déi wäit Säit gesinn huet, den opgeléiste Bestëmmungsuert, de Port, den Typ vum Scan an d’Zäit. Ännert ee vun hinnen a Dir hutt en zweet Experiment gemaach, amplaz dat éischt zweemol ze moossen.
Kuckt d’Quell virun allem aneren un, well e VPN-Client kann u sinn, wärend den Trafik nach ëmmer iwwer d’physesch Interface erausgeet. Frot déi wäit Säit, wat se gesäit, da frot de Kernel, wéi eng Interface en ausgewielt huet:
curl -s https://ifconfig.me
ip route get 203.0.113.20Zwou Adressen an ënnerschiddlechen Netzwierker heeschen, datt d’Erklärung schonn an der Hand ass, an de Rescht vun dëse Kontrollen wäert se nëmme bestätegen. Wa se iwwerenee stëmmen, hält de Probe mam Ursaach-Fändel un op, sou datt den Zoustand verbonne mat enger Erklärung zréckkënnt, amplaz eleng als blosse Wuert ze stoen. Den Typ vum Scan gehéiert och an dës Opzeechnung, well en beschreift, wat gefrot gouf, net wat zréckkoum. En Zoustand ouni Quell, ouni Method an ouni Zäitstempel ka mat näischt verglach ginn:
nmap -sT -p 443,8443 --reason 203.0.113.20Hält dës Ausgab nieft der Opzeechnung, net an engem Scrollback-Puffer, deen déi nächst Persoun net ka gesinn. Zwou éierlech Scannen, déi sech net eens sinn, si just en Argument, wann kee d’Konditiounen opgeschriwwen huet. Mat de Konditiounen fix, entweder stëmmen d’Resultater iwwerenee an d’Fro ass zou, oder se ënnerscheede sech an den Ënnerscheed ass eng Tatsaach iwwer de Wee.
Fannt eraus, wéien Host den Handshake fäerdeg gemaach huet
En ofgeschlossenen Handshake beweist, datt en Host en ofgeschloss huet, an deen Host muss net dee Prozess sinn, deen Dir am Kapp hutt. En Lastverdeeler, en ëmgedréite Proxy oder en SYN-Proxy kënnen äntweren, ier de richtegen Server involvéiert ass, wat normal Design ass an net en Symptom. En gültegt Zertifikat fir den erwaarten Numm grenzt dat och net an, well en Zertifikat eng Déngschtbezéiung beschreift a näischt doriwwer seet, wéi eng Maschinn d’Verbindung ofgeschloss huet.
D’Nmap-Referenz fir Portzoustänn betruecht dat als Basis: en Zoustand zeechent op, wat e Probe vu sengem Sendpunkt aus konnt observéieren, net eng Eigenschaft vum Port. Liest en Zustandswuert sou a zwou Leefer, déi sech net eens waren, fänken u konsequent auszegesinn amplaz widderspréchlech, wärend d’Fro vun ob de Port op ass op wien virun him stoung wiesselt.
Äntwert op déi zweet Fro am Backend an net vu baussen. En Frontend, deen d’Verbindungen unhëlt an da säin Upstream net erreecht, produzéiert genee dat baussenzegt Bild vun engem gesonde Déngscht mat enger lueser Applikatioun. Nëmmen d’Opzeechnung vum Upstream selwer trennt déi zwou Fäll:
tail -n 5 /var/log/nginx/access.log
ss -ltnp 'sport = :443'D’Logzeil weist d’Clientadress, déi d’Applikatioun wierklech gesäit, an den zweeten Uerder weist, ob de Prozess, deen de Port 443 hält, Är Applikatioun ass oder eppes virun him. Wa sech déi zwou net eens sinn, wéi eng Adress sech verbonnen huet, kuckt Dir zwee Been vun enger Ufro un an den Ticket sollt dat soen.
Kuckt Är eegen Regele virdru un, ier Dir den Tunnel beschëllegt
Eng bewosst Politik ass dee heefegste Grond, firwat e Port an engem Netzwierk äntwert an an engem aneren net, an et ass déi mannst interessant Erklärung, déi et gëtt. Zougangsregele ginn et, fir eng Quell ze erlaben an de Rescht ze verwerfen, also ass eng Ännerung vum Ausgang genee dee Evenement, fir deen se geschriwwe goufen. Dofir weist en aneren Zoustand duerch eng VPN net, datt de Fournisseur den Trafik iwwerpréift. Et weist, datt Är Quelladress elo anescht ass, wat eng vill méi kleng Behauptung ass.
Déi Regele si op dem Server liesbar, also liest se, amplaz iwwer d’Mëtt vum Netzwierk ze spekuléieren. Lëscht d’Filterregele op, déi eng vun den zwou Adressberäicher ernimmen, a kuckt dann, ob d’Verbindung iwwerhaapt bei den Daemon komm ass:
nft list ruleset | grep -n -e 203.0.113 -e 198.51.100
journalctl -u sshd -n 50 | grep 203.0.113En eidelt zweet Resultat ass informativ, well näischt bei den Daemon komm ass an d’Fro zu engem Filter, enger Sécherheetsgrupp oder dem Wee selwer gehéiert. En Treffer heescht, datt den Déngscht Är Quell gesinn huet an seng Äntwert gewielt huet, an déi Entscheedung steet normalerweis an enger Reegel, déi Dir ka liest. Keng vun den zwou Resultate stäipt eng Geschicht iwwer de Fournisseur, an déi zwou si méi bëlleg ze kontrolléieren wéi eng Pakopnam.
Liest Transport, Zertifikat an Äntwert getrennt
Dräi Schichten produzéieren dräi Observatiounen, an e Probe, deen eng vun hinnen testt, kann net iwwer déi aner zwou beriichten. Hält se als getrennte Linne an der Opzeechnung, amplaz se an en eenzegt Uerteel ze falten, well all Linn op seng Manéier feelt an de Feelmodus seet Iech, wou Dir als nächstes kucke sollt.
| Observation | What it settles | What it leaves open |
|---|---|---|
| Connection completed | A host on the path accepted the handshake | Which host, and whether its upstream is reachable |
| Certificate valid for the name | The endpoint holds a credential for that name | Whether the process behind it is the one you meant |
| Expected response body | The application handled the request | Anything about other ports or other paths |
| Connection refused | A host replied and nothing was listening | Whether a filter sits ahead of the refused port |
| Timeout | No reply arrived before the deadline | Drop, blackhole route or an overloaded host |
Een Uerder produzéiert déi éischt dräi Zeilen géint en Déngscht, deen Dir kontrolléiert. Setzt seng Ausgab an d’Opzeechnung nieft dem Scan an net an eng Chatmessage:
curl -v --resolve office.example:443:203.0.113.20 https://office.example/Liest d’Ausgab an der Rei: den Handshake äntwert op d’Fro vum Transport, den Zertifikatsgegenstand äntwert op d’Fro vum Numm an de Kierper vun der Äntwert äntwert op d’Fro vun der Applikatioun. Wann d’Handshake-Zeil geléngt an d’Äntwertzeil net, hutt Dir e Frontend mat engem gebrachenen Upstream an net en zouenen Port. Dat ass en aneren Ticket wéi deen, deen Dir opgemaach hutt, an et ass wäert, dat kloer ze soen.
Maacht Schluss, andeems Dir véier Fakten an den Ticket schreift: Quelladress, Typ vum Scan, den Host, deen geäntwert huet, an d’Zäit. Alles wat eng spéider Vergläichung brauch, lieft an deene véier, an wien de Fall duerno iwwerhëlt, huet net Är Terminalgeschicht. Wann Dir net all véier ausfëlle kënnt, ass de Leefer net fäerdeg.