Nmap viser forskjellige resultater over VPN? Fest målet

To portskanninger av samme nettsted kan være uenige fordi navnet ble slått opp til en annen adresse mellom kjøringene, ikke fordi tunnelen endret hva målet eksponerer. Et vertsnavn er en oppslagsinstruks, og Nmap følger den på skanningstidspunktet. Når resolveren svarer med en annen post, målte den andre skanningen en annen maskin.

Fest den numeriske adressen, og sammenligningen blir meningsfull igjen. Alt annet i rapporten, fra timing til mellomliggende enheter, forblir en separat variabel som trenger sin egen kontroll.

To eksperimenter som ser like ut i en rapport

Sammenlign et navn med seg selv, og du har endret minst to ting samtidig: veien pakkene dine tar og destinasjonen resolveren returnerte. En forskjell i utdata kan ikke tilskrives noen av dem. Den tvetydigheten er den vanlige grunnen til at en før-og-etter-skanning blir en diskusjon ingen kan avgjøre.

Sammenlign en adresse med seg selv, og destinasjonen er fast av konstruksjon. Alt som fortsatt avviker, hører til veien, kildeadressen, filtreringen imellom eller maskinens egen tilstand. Du har fjernet én variabel, noe som ikke er det samme som å fjerne alle.

Skriv ned hvilket av de to eksperimentene du faktisk kjørte, før du trekker noen konklusjon fra en porttabell. Forskjellen høres akademisk ut, helt til en rapport sier at VPN blokkerte en port som aldri var åpen på adressen du traff andre gang.

Slå opp først, skann deretter adressen du registrerte

Skill oppslag fra sondering slik at de to fakta lander på forskjellige steder. Spør systemet hva det slo opp, lagre svaret, og gi deretter Nmap den bokstavelige adressen. Gjenta de samme to kommandoene med tunnelen nede og oppe.

getent hosts scan.example.net
dig +short scan.example.net A
nmap -Pn -sV -p 443,8443 192.0.2.40

Flagget -Pn betyr noe her, fordi en vert som ignorerer oppdagelsessonder ellers ville blitt rapportert som nede, og det tomme resultatet ville blitt lest som en lukket port. Bruk -sV bare mot destinasjoner operatøren har godkjent; versjonssondering er mer støyende enn en bar forbindelse og hører innenfor det skrevne omfanget.

Nmaps referanse for målspesifikasjon sier uttrykkelig at et vertsnavn slås opp til en adresse før skanning, og at verktøyet skanner den første når flere adresser kommer tilbake, med mindre du ber om alle. Ingenting i den atferden er VPN-spesifikk. Split-horizon-DNS, en annen resolver eller en lastbalanserer som svarer i ny rekkefølge gir samme effekt uten noen tunnel.

Hold den oppslåtte verdien ved siden av skanneutdataene, med adressefamilien, flaggsettet og et tidsstempel. Et omvendt oppslag som returnerer et firmanavn, er en annen observasjon, ikke bevis for hvilken backend som svarte.

Hva en endret porttilstand kan og ikke kan fortelle deg

Når destinasjonen er festet, peker en port som skifter fra åpen til filtrert vanligvis på veien. Tenk på en ACL lenger oppe, en stateful brannmur eller en leverandør som behandler tunnel-egress annerledes enn bolig-egress. Begrens det ved å teste en annen godkjent adresse i samme subnett når omfanget tillater det, fordi å bytte vertsnavn ville gjeninnføre resolver-spørsmålet. Én variabel per kjøring er hele metoden.

En port som forblir åpen mens tjenestebanneret endres, er en annen historie. Det mønsteret passer en frontend som fordeler tilkoblinger over backender, og ingen mengde skanning fra din side vil navngi leietakeren bak den.

Det skanningen aldri forteller, er hensikt. En filtrert port er et politisk utfall, ikke bevis for at noen har pekt ut tunnelen din, og en åpen port er ikke bevis for at applikasjonen bak vil betjene deg. Korreler med logger på komponenten du drifter, før du skriver noen av de to historiene.

Registrer resultater slik at sammenligningen overlever gjennomgang

En nyttig registrering inneholder det forespurte navnet, den oppslåtte adressen og dens familie, de nøyaktige flaggene, kildeadressen i bruk og autorisasjonen som dekket destinasjonen. Legg til tiden, fordi DNS-svar roterer, og en rapport uten tidsstempler inviterer den samme diskusjonen to ganger. Legg også til skannerversjonen, fordi standard sonderingsatferd driver mellom utgivelser. Hvis to kjøringer brukte forskjellige metoder, behandle dem som forskjellige eksperimenter og si det i overskriften, ikke i fotnoten.

Merk funnet for det det er: forskjellige destinasjoner, forskjellige kildeveier eller en forskjell som fortsatt er uforklart. Det ordforrådet holder en skannerapport ærlig, og det hindrer at et resolver-svar blir republisert som en VPN-avlyttingshendelse. Neste steg er vanligvis én kjøring til med adressen festet, ikke en bredere skanning.