Ein portskann kan ikkje seie kven som godtek pålogginga

Tre spørsmål blandar seg saman når nokon viftar med ein portskann framfor eit VPN-problem: er noko nåbart, er det tenesta du trur, og vil ho godta identiteten din. Ein skannar svarar på det første og peikar vagt på det andre. Det tredje kan han ikkje svare på i det heile, fordi å godta ein legitimasjon ikkje er det ein transportsonde gjer. Bestem deg for kva spørsmål du stiller før du les utdataa.

Verktøyet tek ikkje feil; det svarar på eit trongare spørsmål enn det som ligg på bordet.

Ein open socket er eit faktum om ein socket

Ei vellukka TCP-tilkopling betyr at noko godtok endepunktet. Ho fastslår ikkje at lyttaren er den tiltenkte VPN-tenesta, at sertifikatet som vert presentert svarar til namnet du ventar, eller at TLS-verifiseringa ville gå gjennom. Ei administrasjonsside for gatewayen på same vertsnamn er ei heilt anna teneste, og ho viser ingenting om tunnelen. Behandle resultatet som eit nåbarheitsfaktum og ikkje noko meir.

Der sonden faktisk hjelper, er med å utelukke. Viss ingenting godtek tilkoplinga frå der du sit, kan ikkje handtrykket lukkast, og det snevrar søket inn til nåbarheit før noko anna.

UDP-stilla har fleire forklaringar

UDP-protokollar kan med rette ignorere pakkar som ikkje er autentiserte, så eit manglande svar er ikkje ein dom. Det kan tyde filtrering på vegen, eit lukka endepunkt eller ei teneste som med vilje held seg stille til ho mottek noko gyldig. Å lese stilla som ein lukka port sender folk til brannmurreglar medan den eigentlege feilen ligg i profilen. Gjenta sonden frå eit anna nettverk før du dreg noka konklusjon.

Tvitydinga er ein eigenskap ved protokollen, ikkje ein mangel i verktøyet. Sei det tydeleg når du rapporterer resultatet, fordi eit sjølvsikkert feil svar er verre enn eit usikkert riktig.

Tillitsavgjerda er framleis di

Ein open port tek ikkje tillitsavgjerda, så eit skannarresultat er inga grunn til å slå av sertifikatkontrollar. Den verifiseringa finst for å svare på om du nådde den tiltenkte motparten, og ein skannar har ikkje svart på det. Bruk den ekte profilen og klienten til operatøren for identitet og autentisering, og hald deretter verifiseringsinnstillingane nøyaktig som dei var.

Viss skannen seier open og handtrykket mislukkast, er den interessante delen av feilen i handtrykket, ikkje i skannen.

Test utvekslinga, deretter ruta

Når autentiseringa lukkast, undersøk dei neste trinna kvar for seg: datatilknyting, installerte ruter og applikasjonstilgang. Kvar av dei kan mislukkast medan den førre såg sunn ut, og kvar har sine eigne prov. Å korrelere klient- og lyttarloggar med smale opptak eller teljarar gjev ein rutediagnose som gjenteken skanning aldri vil gje. Hald profilen og endepunktet fast når du samanliknar nettverk, og noter kvar forhandlinga stoppar.

Hald også omfanget av diagnostikken autorisert. Å sondere system du ikkje eig er ikkje ein feilsøkingsteknikk, uansett kva verktøyet seier om resultatet.

Skannen svarar på nåbarheit. Autentisering treng ein legitimasjon, og ruta treng ein pakke. Ein skannar kan rapportere ein open port medan tenesta avviser kvar pålogging, og han kan rapportere ein lukka port medan ei gyldig økt fungerer frå eit anna nettverk. Behandle resultatet som éin observasjon om éin veg, og test deretter legitimasjonen og returvegen kvar for seg.