Суровото скенирање на Nmap не успева преку VPN, но -sT врската работи?

Страница се вчитува низ тунелот додека скенирањето порти известува дека домаќинот е недостапен, и првата мисла е дека VPN блокира нешто. Обично не блокира ништо ново. Двата теста бараат од оперативниот систем различни можности, и само еден од нив бара суров пристап до пакети. Утврдете која можност откажала пред да го допрете тунелот.

Одвојте ја можноста од тунелот

Обичната апликација бара од јадрото да отвори TCP врска, и јадрото го извршува ракувањето без посебна привилегија. Суровото скенирање само ги гради пакетите, што бара суров сокет или драјвер за фаќање зависно од платформата. Тоа се прашања за дозволи и драјвери, и постојат без оглед дали VPN е поврзан.

Оваа разлика ја објаснува вообичаената асиметрија. curl успева зашто патот на сокетот работи, додека SYN скенирањето не успева зашто процесот не може да отвори суров сокет на интерфејсот на тунелот. Таа го објаснува и обратниот случај, кога суровото скенирање известува филтрирано зашто патот ја отфрла сондата, додека патот на апликацијата останува добар.

Ниту еден резултат не ја опишува оддалечената услуга. Двата опишуваат еден пат под еден метод, затоа држете го методот прикачен на заклучокот.

Пуштете ја проверката на врската на еден одобрен домаќин

Изберете го единствениот домаќин што го покрива вашиот задача, потоа користете го режимот на кој не му треба суров пристап. Примерната цел тука е 198.51.100.24, документациски простор резервиран за ваков вид илустрација.

Една линија, еден домаќин, еден порт, без фаза на откривање:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT избира целосна TCP врска, така што го вежба истиот пат на јадрото што го користи апликација и не бара драјвер за фаќање. -Pn го прескокнува откривањето домаќини; nmap сепак врши разрешување на слојот за врска за цели на локалниот сегмент, затоа флагот не е ветување за нула претходен сообраќај. --unprivileged му кажува на nmap да претпостави дека нема сурови или прислушкувачки права, што го менува методот и не дава ништо.

Читајте го секој флаг како една промена, не како поправка

Третирајте ја секоја опција како тврдење за методот. Ниту -sT, ниту -Pn ниту --unprivileged додава рута, отвора оддалечен огнен ѕид или валидира сертификат. Скенирањето врска исто така завршува вистинско ракување што услугата го запишува, затоа одобрена проверка и неодобрено пребарување изгледаат исто од серверот освен по обем и темпо. Натрупувањето опции додека излезот не се смени е начинот на кој проблемот со метод се запишува како мрежен наод.

Кога излезот вели затворено, нешто одговори со ресетирање, и тоа е различен наод од тишината. Кога излезот вели филтрирано, уред ја отфрлил сондата или нејзиниот одговор, и VPN може да е случаен. Запишете ја точната формулација, зашто пресудата на фазата на откривање и дефектот на ниво на сонда укажуваат на различни слоеви.

Ако навистина е потребен привилегиран режим, сопственикот на платформата одлучува дали се поддржани привилегијата, драјверот и распоредот на интерфејси. Подигањето на истиот повик не го менува неговиот метод.

Застанете на транспортниот резултат, потоа тестирајте ја услугата

Завршеното ракување одговара на едно прашање за една адреса, порт, извор и момент. Тоа не докажува дека заднината е здрава, зашто балансер на оптовар или преден прокси може да ја прифати врската додека апликацијата зад него е запрена.

Продолжете со сопствениот клиент на услугата, за да се набљудуваат TLS идентитетот и однесувањето на апликацијата како одделни факти:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Уште една навика го задржува резултатот корисен. Запишете ја точната наредба, изворната адреса што ја користела и времето, зашто транспортен резултат без тој контекст не може да се повтори или спореди.

Ако сертификатот именува домаќин што не го очекувавте, транспортот работел и рутирањето никогаш не било проблем; дефектот е во виртуелниот хостинг или DNS. Ако ракувањето не успее, запишете го локалниот низ за грешка наместо да генерализирате за тунелот. Држете го белешката за обем покрај резултатот, зашто следниот човек треба да знае кој метод го создал.