Imbasan mentah Nmap gagal melalui VPN tetapi sambungan -sT berfungsi?

Halaman dimuat melalui terowong manakala imbasan port melaporkan hos sebagai mati, dan tanggapan pertama ialah VPN menyekat sesuatu. Biasanya ia tidak menyekat apa-apa yang baharu. Kedua-dua ujian meminta keupayaan berbeza daripada sistem pengendalian, dan hanya satu memerlukan akses paket mentah. Tentukan keupayaan mana yang gagal sebelum menyentuh terowong.

Asingkan keupayaan daripada terowong

Aplikasi biasa meminta kernel membuka sambungan TCP, dan kernel melakukan jabat tangan tanpa keistimewaan khas. Imbasan mentah membina paket sendiri, yang memerlukan soket mentah atau pemacu tangkapan bergantung pada platform. Itu soalan kebenaran dan pemacu, dan ia wujud sama ada VPN disambungkan atau tidak.

Perbezaan ini menjelaskan asimetri lazim. curl berjaya kerana laluan soket berfungsi, manakala imbasan SYN gagal kerana proses tidak boleh membuka soket mentah pada antara muka terowong. Ia juga menjelaskan kes sebaliknya, apabila imbasan mentah melaporkan ditapis kerana laluan menggugurkan prob manakala laluan aplikasi kekal baik.

Tiada satu pun hasil menggambarkan perkhidmatan jauh. Kedua-duanya menggambarkan satu laluan di bawah satu kaedah, jadi kekalkan kaedah terikat pada kesimpulan.

Jalankan pemeriksaan sambungan pada satu hos yang diluluskan

Pilih satu hos yang diliputi tugas anda, kemudian gunakan mod yang tidak memerlukan akses mentah. Sasaran contoh di sini ialah 198.51.100.24, ruang dokumentasi yang dikhaskan untuk ilustrasi sebegini.

Satu baris, satu hos, satu port, tiada peringkat penemuan:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT memilih sambungan TCP penuh, jadi ia menggunakan laluan kernel yang sama seperti aplikasi dan tidak memerlukan pemacu tangkapan. -Pn melangkau penemuan hos; nmap masih melakukan penyelesaian lapisan pautan untuk sasaran pada segmen setempat, jadi bendera itu bukan janji trafik awal sifar. --unprivileged memberitahu nmap supaya menganggap ia tiada hak mentah atau mengintip, yang mengubah kaedah dan tidak memberi apa-apa.

Baca setiap bendera sebagai satu perubahan, bukan pembaikan

Anggap setiap pilihan sebagai pernyataan tentang kaedah. Tiada satu pun daripada -sT, -Pn atau --unprivileged menambah laluan, membuka tembok api jauh atau mengesahkan sijil. Imbasan sambungan juga melengkapkan jabat tangan sebenar yang direkodkan perkhidmatan, jadi pemeriksaan yang diluluskan dan sapuan yang tidak diluluskan kelihatan sama dari pelayan kecuali dari segi skop dan kadar. Menimbun pilihan sehingga output berubah ialah cara masalah kaedah direkodkan sebagai penemuan rangkaian.

Apabila output berkata tertutup, sesuatu menjawab dengan tetapan semula, dan itu penemuan berbeza daripada senyap. Apabila output berkata ditapis, peranti menggugurkan prob atau balasannya, dan VPN mungkin kebetulan. Catat perkataan tepatnya, kerana keputusan peringkat penemuan dan kegagalan peringkat prob menunjuk lapisan berbeza.

Jika mod istimewa benar-benar diperlukan, pemilik platform memutuskan sama ada keistimewaan, pemacu dan susunan antara muka disokong. Menaikkan seruan yang sama tidak mengubah kaedahnya.

Berhenti pada hasil pengangkutan, kemudian uji perkhidmatan

Jabat tangan yang selesai menjawab satu soalan tentang satu alamat, port, sumber dan saat. Ia tidak membuktikan bahawa bahagian belakang sihat, kerana penyeimbang beban atau proksi hadapan boleh menerima sambungan manakala aplikasi di belakangnya berhenti.

Teruskan dengan klien perkhidmatan itu sendiri supaya identiti TLS dan tingkah laku aplikasi diperhatikan sebagai fakta berasingan:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Satu lagi tabiat memastikan hasilnya berguna. Catat arahan tepatnya, alamat sumber yang digunakan dan masa, kerana hasil pengangkutan tanpa konteks itu tidak boleh dihasilkan semula atau dibandingkan.

Jika sijil menamakan hos yang anda tidak jangkakan, pengangkutan berfungsi dan penghalaan tidak pernah menjadi masalah; kerosakan terletak pada pengehosan maya atau DNS. Jika jabat tangan gagal, catat rentetan ralat setempat dan bukannya membuat generalisasi tentang terowong. Simpan nota skop di sebelah hasil, kerana orang seterusnya perlu tahu kaedah mana yang menghasilkannya.