Nmap viser ulike resultat over VPN? Fest målet

To portskanningar av same nettstad kan vere usamde fordi namnet vart slått opp til ei anna adresse mellom køyringane, ikkje fordi tunnelen endra kva målet eksponerer. Eit vertsnamn er ein oppslagsinstruks, og Nmap følgjer han på skanningstidspunktet. Når resolvaren svarar med ein annan post, målte den andre skanninga ein annan maskin.

Fest den numeriske adressa, og samanlikninga blir meiningsfull igjen. Alt anna i rapporten, frå timing til mellomliggjande einingar, blir verande ein separat variabel som treng si eiga kontroll.

To eksperiment som ser like ut i ein rapport

Samanlikn eit namn med seg sjølv, og du har endra minst to ting samstundes: vegen pakkane dine tek og destinasjonen resolvaren returnerte. Ein skilnad i utdata kan ikkje tilskrivast nokon av dei. Den tvitydigheita er den vanlege grunnen til at ein før-og-etter-skanning blir ein diskusjon ingen kan avgjere.

Samanlikn ei adresse med seg sjølv, og destinasjonen er fast av konstruksjon. Alt som framleis avvik, høyrer til vegen, kjeldeadressa, filtreringa imellom eller maskina sin eigen tilstand. Du har fjerna éin variabel, noko som ikkje er det same som å fjerne alle.

Skriv ned kva av dei to eksperimenta du faktisk køyrde, før du dreg noka konklusjon frå ein porttabell. Skilnaden høyrest akademisk ut, heilt til ein rapport seier at VPN blokkerte ein port som aldri var open på adressa du traff andre gong.

Slå opp først, skann deretter adressa du registrerte

Skil oppslag frå sondering slik at dei to fakta landar på ulike stader. Spør systemet kva det slo opp, lagre svaret, og gje deretter Nmap den bokstavelege adressa. Gjenta dei same to kommandoane med tunnelen nede og oppe.

getent hosts scan.example.net
dig +short scan.example.net A
nmap -Pn -sV -p 443,8443 192.0.2.40

Flagget -Pn har noko å seie her, fordi ein vert som ignorerer oppdagingssondar elles ville bli rapportert som nede, og det tomme resultatet ville bli lese som ein lukka port. Bruk -sV berre mot destinasjonar operatøren har godkjent; versjonssondering er meir støyande enn ei bar tilkopling og høyrer innanfor det skrivne omfanget.

Nmps referanse for målspesifikasjon seier uttrykkeleg at eit vertsnamn blir slått opp til ei adresse før skanning, og at verktøyet skannar den første når fleire adresser kjem tilbake, med mindre du ber om alle. Ingenting i den åtferda er VPN-spesifikk. Split-horizon-DNS, ein annan resolvar eller ein lastbalansar som svarar i ny rekkjefølgje gir same effekt utan nokon tunnel.

Hald den oppslåtte verdien ved sida av skanneutdata, med adressefamilien, flaggsettet og eit tidsstempel. Eit omvendt oppslag som returnerer eit firmanamn, er ei anna observasjon, ikkje prov for kva backend som svarte.

Kva ein endra porttilstand kan og ikkje kan fortelje deg

Når destinasjonen er fest, peikar ein port som skiftar frå open til filtrert vanlegvis på vegen. Tenk på ein ACL lenger oppe, ein stateful brannmur eller ein leverandør som handsamar tunnel-egress annleis enn bustad-egress. Avgrens det ved å teste ei anna godkjend adresse i same subnett når omfanget tillèt det, fordi å byte vertsnamn ville innføre resolvarspørsmålet på nytt. Éin variabel per køyring er heile metoden.

Ein port som blir verande open medan tenestebanneret endrar seg, er ei anna historie. Det mønsteret passar ein frontend som fordeler tilkoplingar over backendar, og inga mengd skanning frå di side vil namngje leigetakaren bak han.

Det skanninga aldri fortel, er hensikt. Ein filtrert port er eit politisk utfall, ikkje prov for at nokon har peika ut tunnelen din, og ein open port er ikkje prov for at applikasjonen bak vil tene deg. Korreler med loggar på komponenten du driftar, før du skriv nokon av dei to historiene.

Registrer resultat slik at samanlikninga overlever gjennomgang

Ein nyttig registrering inneheld det førespurde namnet, den oppslåtte adressa og familien hennar, dei nøyaktige flagga, kjeldeadressa i bruk og autorisasjonen som dekte destinasjonen. Legg til tida, fordi DNS-svar roterer, og ein rapport utan tidsstempel inviterer den same diskusjonen to gonger. Legg òg til skannerversjonen, fordi standard sonderingsåtferd driv mellom utgjevingar. Viss to køyringar brukte ulike metodar, handsam dei som ulike eksperiment og sei det i overskrifta, ikkje i fotnoten.

Merk funnet for det det er: ulike destinasjonar, ulike kjeldvegar eller ein skilnad som framleis er uforklart. Det ordtilfanget held ein skannrapport ærleg, og det hindrar at eit resolvarsvar blir republisert som ei VPN-avlyttingshending. Neste steg er vanlegvis éi køyring til med adressa fest, ikkje ei breiare skanning.