En portskann kan ikke fortelle hvem som godtar påloggingen

Tre spørsmål blandes sammen når noen vifter med en portskann foran et VPN-problem: er noe nåbart, er det tjenesten du tror, og vil den godta identiteten din. En skanner svarer på det første og peker vagt på det andre. Det tredje kan den ikke svare på i det hele tatt, fordi å godta en legitimasjon ikke er det en transportsonde gjør. Bestem deg for hvilket spørsmål du stiller før du leser utdataene.

Verktøyet tar ikke feil; det svarer på et snevrere spørsmål enn det som ligger på bordet.

En åpen socket er et faktum om en socket

En vellykket TCP-forbindelse betyr at noe godtok endepunktet. Den fastslår ikke at lytteren er den tiltenkte VPN-tjenesten, at sertifikatet som presenteres samsvarer med navnet du forventer, eller at TLS-verifiseringen ville bestå. En administrasjonsside for gatewayen på samme vertsnavn er en helt annen tjeneste, og den viser ingenting om tunnelen. Behandle resultatet som et nåbarhetsfaktum og ikke noe mer.

Der sonden faktisk hjelper, er med å utelukke. Hvis ingenting godtar forbindelsen fra der du sitter, kan ikke håndtrykket lykkes, og det snevrer søket inn til nåbarhet før noe annet.

UDP-stillhet har flere forklaringer

UDP-protokoller kan med rette ignorere pakker som ikke er autentisert, så et manglende svar er ikke en dom. Det kan bety filtrering på veien, et lukket endepunkt eller en tjeneste som bevisst holder seg stille til den mottar noe gyldig. Å lese stillhet som en lukket port sender folk til brannmurregler mens den egentlige feilen ligger i profilen. Gjenta sonden fra et annet nettverk før du trekker noen konklusjon.

Tvetydigheten er en egenskap ved protokollen, ikke en mangel i verktøyet. Si det tydelig når du rapporterer resultatet, fordi et selvsikkert feil svar er verre enn et usikkert riktig.

Tillitsbeslutningen er fortsatt din

En åpen port tar ikke tillitsbeslutningen, så et skannerresultat er ingen grunn til å slå av sertifikatkontroller. Den verifiseringen finnes for å svare på om du nådde den tiltenkte motparten, og en skanner har ikke svart på det. Bruk operatørens ekte profil og klient for identitet og autentisering, og hold deretter verifiseringsinnstillingene nøyaktig som de var.

Hvis skannen sier åpen og håndtrykket mislykkes, er den interessante delen av feilen i håndtrykket, ikke i skannen.

Test utvekslingen, deretter ruten

Når autentiseringen lykkes, undersøk de neste trinnene hver for seg: datatilknytning, installerte ruter og applikasjonstilgang. Hver av dem kan feile mens den forrige så sunn ut, og hver har sine egne bevis. Å korrelere klient- og lytterlogger med smale opptak eller tellere gir en rutediagnose som gjentatt skanning aldri vil gi. Hold profilen og endepunktet fast når du sammenligner nettverk, og noter hvor forhandlingen stopper.

Hold også diagnostikkens omfang autorisert. Å sondere systemer du ikke eier er ikke en feilsøkingsteknikk, uansett hva verktøyet sier om resultatet.

Skannen svarer på nåbarhet. Autentisering trenger en legitimasjon, og ruten trenger en pakke. En skanner kan rapportere en åpen port mens tjenesten avviser hver pålogging, og den kan rapportere en lukket port mens en gyldig økt fungerer fra et annet nettverk. Behandle resultatet som én observasjon om én vei, og test deretter legitimasjonen og returveien hver for seg.