Għaliex ir-riżultati tal-iskennjar tal-portijiet jinbidlu wara ħruġ VPN?
Ibdel il-ħruġ u port jista’ jwieġeb mod ieħor mingħajr ma s-servizz jiċċaqlaq. Aqsam l-osservazzjoni tal-mogħdija mill-inventarju li tassew għandek bżonn.
Mexxi l-istess verifika tal-port minn linja tal-uffiċċju u minn ħruġ VPN, u ż-żewġ tweġibiet jistgħu ma jaqblux dwar indirizz li ħadd ma biddel. Dak id-distakk ġej mill-mogħdija u minn liema host wieġeb, mhux mill-fatt li s-servizz jaħdem jew le. Tliet mistoqsijiet jifirdu dawn l-ispjegazzjonijiet: x’investigat tassew il-probe, liema host wieġeb, u x’irreġistrat is-server tiegħek stess. Għaddi minnhom f’dak l-ordni u ikteb kull tweġiba qabel ma tgħaddi għal dik li jmiss.
Sejjes il-probe qabel ma tqabbel żewġ ġirjiet
Kelma tal-istat hija komparabbli ma’ kelma oħra tal-istat biss meta t-tnejn ħarġu mill-istess esperiment. Ħames oqsma jiffissaw dan: l-indirizz tas-sors li ra n-naħa l-bogħida, id-destinazzjoni solvuta, il-port, it-tip ta’ skennjar, u l-ħin. Ibdel wieħed minnhom u tkun għamilt it-tieni esperiment minflok ma kejjelet l-ewwel darbtejn.
Iċċekkja s-sors qabel kull ħaġa oħra, għax il-klijent VPN jista’ jkun mixgħul waqt li t-traffiku għadu joħroġ mill-interface fiżika. Staqsi lin-naħa l-bogħida x’tara, imbagħad staqsi lill-kernel liema interface għażel:
curl -s https://ifconfig.me
ip route get 203.0.113.20Żewġ indirizzi fuq netwerks differenti jfissru li l-ispjegazzjoni diġà f’idejk, u l-bqija ta’ dawn il-verifiki se jikkonfermawha biss. Meta jaqblu, aqbad il-probe bil-bandiera tar-raġuni mixgħula, sabiex l-istat jerġa’ lura marbut ma’ spjegazzjoni minflok ma joqgħod waħdu bħala kelma għarwiena. It-tip ta’ skennjar ukoll jappartjeni għal dik ir-reġistrazzjoni, għax jiddeskrivi x’ġie mitlub u mhux x’ġie lura. Stat mingħajr sors, mingħajr metodu u mingħajr timbru tal-ħin ma jistax jiġi mqabbel ma’ xejn:
nmap -sT -p 443,8443 --reason 203.0.113.20Żomm dak l-output ħdejn ir-reġistrazzjoni u mhux f’buffer tal-iskrolljar li l-persuna li jmiss ma tistax tara. Żewġ skennjar onesti li ma jaqblux huma biss argument meta ħadd ma kiteb il-kundizzjonijiet. Bil-kundizzjonijiet fissi, jew ir-riżultati jaqblu u l-mistoqsija tingħalaq, jew ikunu differenti u d-differenza hija fatt dwar il-mogħdija.
Sib liema host temm il-ħbek tal-idejn
Ħbek tal-idejn komplut jipprova li xi host temmu, u dak il-host m’għandux għalfejn ikun il-proċess li għandek f’moħħok. Bilanċjatur tat-tagħbija, prokura inversa jew prokura SYN jistgħu jwieġbu qabel ma jkun involut is-server veru, li huwa disinn normali u mhux sintomu. Ċertifikat validu għall-isem mistenni lanqas jidjieq dan, għax iċ-ċertifikat jiddeskrivi relazzjoni ta’ servizz u ma jgħid xejn dwar liema magna temmet il-konnessjoni.
Ir-referenza tal-istati tal-port ta’ Nmap tqis dan bħala bażiku: stat jirreġistra dak li l-probe seta’ josserva minn fejn intbagħat, mhux proprjetà tal-port. Aqra kelma tal-istat hekk u żewġ ġirjiet li ma qablux jibdew jidhru konsistenti minflok kontradittorji, waqt li l-mistoqsija tinbidel minn jekk il-port huwiex miftuħ għal min kien qed joqgħod quddiemu.
Wieġeb it-tieni mistoqsija fil-backend u mhux minn barra. Frontend li jaċċetta konnessjonijiet u mbagħad ma jilħaqx l-upstream tiegħu jipproduċi eżatt id-dehra esterna ta’ servizz b’saħħtu b’applikazzjoni bil-mod. Biss ir-reġistrazzjoni tal-upstream innifsu tifred iż-żewġ każijiet:
tail -n 5 /var/log/nginx/access.log
ss -ltnp 'sport = :443'Il-linja tal-log turi l-indirizz tal-klijent li l-applikazzjoni tassew rat, u t-tieni kmand juri jekk il-proċess li jżomm il-port 443 huwiex l-applikazzjoni tiegħek jew xi ħaġa quddiemha. Jekk it-tnejn ma jaqblux dwar liema indirizz ikkonnettja, qed tħares lejn żewġ saqajn ta’ talba waħda u l-biljett għandu jgħid hekk.
Iċċekkja r-regoli tiegħek qabel ma tagħti l-ħtija lill-mina
Politika maħsuba hija l-aktar raġuni komuni li port iwieġeb fuq netwerk u mhux fuq ieħor, u hija l-inqas spjegazzjoni interessanti disponibbli. Regoli tal-aċċess jeżistu biex jippermettu sors wieħed u jarmu l-bqija, għalhekk bidla fil-ħruġ hija eżatt l-avveniment li għalih inkitbu. Għalhekk stat differenti permezz ta’ VPN ma jurix li l-fornitur jispezzjona t-traffiku. Juriha li l-indirizz tas-sors tiegħek issa hu differenti, li hija pretensjoni ħafna iżgħar.
Dawk ir-regoli jistgħu jinqraw fuq is-server, għalhekk aqrahom minflok ma tispekula dwar nofs in-netwerk. Elenka r-regoli tal-filtru li jissemmew xi wieħed miż-żewġ meded ta’ indirizzi, imbagħad iċċekkja jekk il-konnessjoni waslitx għall-daemon:
nft list ruleset | grep -n -e 203.0.113 -e 198.51.100
journalctl -u sshd -n 50 | grep 203.0.113Tieni riżultat vojt huwa informattiv, għax xejn ma wasal għall-daemon u l-mistoqsija tappartjeni għal filtru, għal grupp tas-sigurtà jew għall-mogħdija stess. Hit ifisser li s-servizz ra s-sors tiegħek u għaże l-tweġiba tiegħu, u dik id-deċiżjoni normalment hija miktuba f’regola li tista’ taqra. Ebda riżultat ma jappoġġa storja dwar il-fornitur, u t-tnejn huma orħos biex jiġu vverifikati minn qabda ta’ pakketti.
Aqra t-trasport, iċ-ċertifikat u r-rispons separatament
Tliet saffi jipproduċu tliet osservazzjonijiet, u probe li jittestja wieħed minnhom ma jistax jirrapporta dwar it-tnejn l-oħra. Żommhom bħala linji separati fir-reġistrazzjoni minflok ma tgħoġġhom f’verdett wieħed, għax kull linja tfalli bil-mod tagħha u l-mod tat-telfa jgħidlek fejn tħares wara.
| Observation | What it settles | What it leaves open |
|---|---|---|
| Connection completed | A host on the path accepted the handshake | Which host, and whether its upstream is reachable |
| Certificate valid for the name | The endpoint holds a credential for that name | Whether the process behind it is the one you meant |
| Expected response body | The application handled the request | Anything about other ports or other paths |
| Connection refused | A host replied and nothing was listening | Whether a filter sits ahead of the refused port |
| Timeout | No reply arrived before the deadline | Drop, blackhole route or an overloaded host |
Kmand wieħed jipproduċi l-ewwel tliet ringieli kontra servizz li tikkontrolla. Poġġi l-output tiegħu fir-reġistrazzjoni ħdejn l-iskennjar u mhux f’messaġġ taċ-chat:
curl -v --resolve office.example:443:203.0.113.20 https://office.example/Aqra l-output bl-ordni: il-ħbek tal-idejn iwieġeb il-mistoqsija tat-trasport, is-suġġett taċ-ċertifikat iwieġeb il-mistoqsija tal-isem, u l-ġisem tar-rispons iwieġeb il-mistoqsija tal-applikazzjoni. Meta l-linja tal-ħbek tal-idejn tirnexxi u dik tar-rispons le, għandek frontend b’upstream miksur u mhux port imblukkat. Dan huwa biljett differenti minn dak li ftaħt, u jistħoqqlu jingħad b’mod ċar.
Temm billi tikteb erba’ fatti fil-biljett: indirizz tas-sors, tip ta’ skennjar, il-host li wieġeb, u l-ħin. Kull ma teħtieġ paragun aktar tard jgħix f’dawk l-erbgħa, u min jieħu l-każ wara mhux se jkollu l-istorja tat-terminal tiegħek. Jekk ma tistax timla l-erbgħa kollha, il-ġirja mhijiex kompluta.