Nmap neapdorotas skenavimas nepavyksta per VPN, bet -sT ryšys veikia?

Puslapis įkeliamas per tunelį, o prievadų skenavimas praneša, kad mazgas nepasiekiamas, ir pirmoji mintis – kad VPN kažką blokuoja. Paprastai jis neblokuoja nieko naujo. Abi patikros prašo operacinės sistemos skirtingų galimybių, ir tik vienai jų reikia neapdorotos prieigos prie paketų. Nustatykite, kuri galimybė nepavyko, prieš liesdami tunelį.

Atskirkite galimybę nuo tunelio

Įprasta programėlė prašo branduolio atidaryti TCP ryšį, o branduolys atlieka rankų paspaudimą be specialių teisių. Neapdorotas skenavimas pats kuria paketus, o tam priklausomai nuo platformos reikia neapdoroto lizdo arba fiksavimo tvarkyklės. Tai leidimų ir tvarkyklių klausimai, ir jie egzistuoja nepriklausomai nuo to, ar VPN prijungtas.

Šis skirtumas paaiškina įprastą asimetriją. curl pavyksta, nes lizdo kelias veikia, o SYN skenavimas nepavyksta, nes procesas negali atidaryti neapdoroto lizdo tunelio sąsajoje. Jis taip pat paaiškina atvirkštinį atvejį, kai neapdorotas skenavimas praneša filtruota, nes kelias numeta zondą, o programėlės kelias lieka geras.

Nė vienas rezultatas neaprašo nuotolinės paslaugos. Abu aprašo vieną kelią pagal vieną metodą, todėl laikykite metodą pririštą prie išvados.

Paleiskite ryšio patikrą viename patvirtintame mazge

Pasirinkite vienintelį mazgą, kurį apima jūsų užduotis, tada naudokite režimą, kuriam nereikia neapdorotos prieigos. Pavyzdinis taikinys čia yra 198.51.100.24, dokumentacijos erdvė, skirta tokiai iliustracijai.

Viena eilutė, vienas mazgas, vienas prievadas, jokio aptikimo etapo:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT pasirenka visą TCP ryšį, todėl naudoja tą patį branduolio kelią kaip programėlė ir nereikalauja fiksavimo tvarkyklės. -Pn praleidžia mazgų aptikimą; nmap vis tiek atlieka nuorodos lygmens sprendimą vietinio segmento taikiniams, todėl vėliavėlė nežada nulinio parengiamojo srauto. --unprivileged nurodo nmap manyti, kad jis neturi neapdorotų ar pasiklausymo teisių, o tai keičia metodą ir nieko nesuteikia.

Skaitykite kiekvieną vėliavėlę kaip vieną pakeitimą, o ne kaip taisymą

Kiekvieną parinktį traktuokite kaip teiginį apie metodą. Nė vienas iš -sT, -Pn ar --unprivileged neprideda maršruto, neatveria nuotolinės užkardos ir nepatvirtina sertifikato. Ryšio skenavimas taip pat užbaigia tikrą rankų paspaudimą, kurį paslauga registruoja, todėl patvirtinta patikra ir nepatvirtintas šlavimas iš serverio pusės atrodo vienodai, išskyrus apimtį ir tempą. Parinkčių kaupimas, kol pasikeis išvestis, yra bůdas metodo problemą užregistruoti kaip tinklo radinį.

Kai išvestis sako uždara, kažkas atsakė atstatymu, ir tai kitas radinys nei tyla. Kai išvestis sako filtruota, įrenginys numetė zondą arba jo atsakymą, o VPN gali būti atsitiktinis. Užrašykite tikslią formuluotę, nes aptikimo etapo nuosprendis ir zondo lygmens gedimas rodo skirtingus sluoksnius.

Jei privilegijuotas režimas tikrai reikalingas, platformos savininkas sprendžia, ar palaikomos teisės, tvarkyklė ir sąsajų išdėstymas. Tos pačios iškvietos pakėlimas nekeičia jos metodo.

Sustokite ties transporto rezultatu, tada išbandykite paslaugą

Užbaigtas rankų paspaudimas atsako į vieną klausimą apie vieną adresą, prievadą, šaltinį ir momentą. Tai neįrodo, kad vidinė sistema sveika, nes apkrovos balansuotojas ar priekinis tarpinis serveris gali priimti ryšį, kol už jo esanti programėlė neveikia.

Tęskite paslaugos pačios klientu, kad TLS tapatybė ir programėlės elgsena būtų stebimos kaip atskiri faktai:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Dar vienas įprotis palieka rezultatą naudingą. Užrašykite tikslią komandą, naudotą šaltinio adresą ir laiką, nes transporto rezultato be šio konteksto neįmanoma atkartoti ar palyginti.

Jei sertifikatas nurodo mazgą, kurio nesitikėjote, transportas veikė ir maršrutizavimas niekada nebuvo problema; gedimas yra virtualiame talpinime arba DNS. Jei rankų paspaudimas nepavyksta, užrašykite vietinę klaidos eilutę, o ne apibendrinkite apie tunelį. Laikykite apimties pastabą šalia rezultato, nes kitas žmogus turi žinoti, kuris metodas jį sukūrė.