Nmap-råskanning feilar over eit VPN, men -sT-tilkopling virkar?

Ei side lastar gjennom tunnelen medan ein portskanning melder at verten er nede, og den fyrste tanken er at VPN-en blokkerer noko. Vanlegvis blokkerer han ikkje noko nytt. Dei to testane ber operativsystemet om ulike evner, og berre éin av dei treng rå pakketilgang. Finn ut kva evne som svikta før du rører tunnelen.

Skil evna frå tunnelen

Ein vanleg applikasjon ber kjernen opne ei TCP-tilkopling, og kjernen utfører handtrykket utan særskild rett. Ei rå skanning byggjer pakkane sjølv, noko som krev ein rå socket eller ein opptaksdrivar avhengig av plattforma. Det er spørsmål om løyve og drivarar, og dei finst uansett om ein VPN er tilkopla.

Denne skilnaden forklarer den vanlege asymmetrien. curl lukkast fordi socket-stien virkar, medan SYN-skanninga feilar fordi prosessen ikkje kan opne ein rå socket på grensesnittet til tunnelen. Han forklarer òg det motsette tilfellet, der ei rå skanning rapporterer filtrert fordi stien slepp sonden medan stien til applikasjonen blir god.

Ingen av resultata skildrar den eksterne tenesta. Begge skildrar éin sti under éin metode, så hald metoden knytt til konklusjonen.

Køyr tilkoplingstesten på éin godkjend vert

Vel den eine verten oppgåva di dekkjer, og bruk så modusen som ikkje krev rå tilgang. Døme på mål her er 198.51.100.24, dokumentasjonsplass reservert for denne typen illustrasjon.

Éi linje, éin vert, éin port, ingen oppdagingsfase:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT vel ei full TCP-tilkopling, så ho går gjennom same kjernestien som ein applikasjon brukar og krev ingen opptaksdrivar. -Pn hoppar over vertsoppdaging; nmap gjer likevel lenkjelagsoppslag for mål i det lokale segmentet, så flagget er ikkje eit løfte om null førehandstrafikk. --unprivileged ber nmap anta at det ikkje har rå eller snusande rettar, noko som endrar metoden og ikkje gjev noko.

Les kvar flagg som éi endring, ikkje som ei reparasjon

Behandle kvart val som ei påstand om metoden. Korkje -sT, -Pn eller --unprivileged legg til ei rute, opnar ein ekstern brannmur eller validerer eit sertifikat. Ein tilkoplingsskanning fullfører òg eit ekte handtrykk som tenesta loggar, så ein godkjend kontroll og ein ugodkjend gjennomgang ser like ut frå tenaren bortsett frå omfang og tempo. Å stable val til utdata endrar seg er måten eit metodeproblem blir registrert som eit nettverksfunn.

Når utdata seier lukka, svara noko med ein tilbakestilling, og det er eit anna funn enn stille. Når utdata seier filtrert, sleppte eit apparat sonden eller svaret, og VPN-en kan vere tilfeldig. Skriv ned den nøyaktige ordlyden, fordi ein dom frå oppdagingsfasen og ein feil på sondenivå peikar på ulike lag.

Viss ein privilegert modus verkeleg er naudsynt, avgjer plattformseigaren om retten, drivaren og grensesnittoppsettet er støtta. Å heve same kommandoen endrar ikkje metoden.

Stopp ved transportresultatet, og test så tenesta

Eit fullført handtrykk svarar på eitt spørsmål om éin adresse, port, kjelde og tid. Det bevisar ikkje at backend-en er sunn, fordi ein lastbalanserar eller forward-proxy kan godta tilkoplinga medan applikasjonen bak er nede.

Følg opp med eigen klient frå tenesta slik at TLS-identitet og applikasjonsåtferd blir observerte som separate faktum:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Éin vane til held resultatet nyttig. Noter den nøyaktige kommandoen, kjeldeadressa han brukte og tidspunktet, fordi eit transportresultat utan den samanhengen ikkje kan gjerast om eller samanliknast.

Viss sertifikatet nemner ein vert du ikkje venta, virka transporten, og ruting var aldri problemet; feilen ligg i virtuell hosting eller DNS. Viss handtrykket feilar, noter den lokale feilteksten i staden for å generalisere om tunnelen. Ha omfangsnotatet ved sida av resultatet, fordi neste person må vite kva metode som skapte det.