Skan portów nie powie, kto przyjmie logowanie

Trzy pytania mieszają się, gdy ktoś macha wynikiem skanu portów przed problemem z VPN: czy cokolwiek jest osiągalne, czy to ta usługa, o której myślisz, i czy przyjmie twoją tożsamość. Skaner odpowiada na pierwsze i niejasno wskazuje drugie. Na trzecie nie potrafi odpowiedzieć w ogóle, bo przyjęcie poświadczenia to nie jest to, co robi sonda transportowa. Zdecyduj, które pytanie zadajesz, zanim przeczytasz wynik.

Narzędzie nie jest w błędzie; odpowiada na węższe pytanie niż to, które leży na stole.

Otwarte gniazdo to fakt o gnieździe

Udane połączenie TCP oznacza, że coś przyjęło ten punkt końcowy. Nie dowodzi, że nasłuchującym jest zamierzona usługa VPN, że przedstawiony certyfikat zgadza się z oczekiwaną nazwą ani że weryfikacja TLS by przeszła. Strona administracyjna bramy pod tą samą nazwą hosta to zupełnie inna usługa i nie dowodzi niczego o tunelu. Traktuj wynik jako fakt dotyczący osiągalności i nic więcej.

Tam, gdzie sonda naprawdę pomaga, to wykluczanie. Jeśli nic nie przyjmuje połączenia z twojego miejsca, uzgadnianie nie może się udać, a to zawęża poszukiwania do osiągalności przed wszystkim innym.

Cisza UDP ma kilka wyjaśnień

Protokoły UDP mogą zgodnie z prawem ignorować pakiety, które nie są uwierzytelnione, więc brak odpowiedzi nie jest wyrokiem. Może oznaczać filtrowanie na trasie, zamknięty punkt końcowy albo usługę, która celowo milczy, dopóki nie otrzyma czegoś ważnego. Odczytanie ciszy jako zamkniętego portu kieruje ludzi do reguł zapory, podczas gdy prawdziwa usterka jest w profilu. Powtórz sondę z innej sieci, zanim wyciągniesz jakikolwiek wniosek.

Niejednoznaczność jest cechą protokołu, a nie luką w narzędziu. Powiedz to jasno, raportując wynik, bo pewna siebie błędna odpowiedź jest gorsza niż niepewna prawidłowa.

Decyzja o zaufaniu wciąż należy do ciebie

Otwarty port nie podejmuje decyzji o zaufaniu, więc wynik skanera nie jest powodem do wyłączania sprawdzania certyfikatów. Ta weryfikacja istnieje po to, by odpowiedzieć, czy dotarłeś do zamierzonego peera, a skaner na to nie odpowiedział. Użyj prawdziwego profilu i klienta operatora do tożsamości i uwierzytelniania, a potem zostaw ustawienia weryfikacji dokładnie takie, jakie były.

Jeśli skan mówi otwarty, a uzgadnianie się nie udaje, ciekawa część niepowodzenia jest w uzgadnianiu, nie w skanie.

Sprawdź wymianę, potem trasę

Gdy uwierzytelnianie się powiedzie, obejrzyj kolejne etapy osobno: powiązanie danych, zainstalowane trasy i dostęp aplikacji. Każdy może zawieść, podczas gdy poprzedni wyglądał zdrowo, i każdy ma własne dowody. Skorelowanie logów klienta i nasłuchującego z wąskimi przechwyceniami lub licznikami daje diagnozę ścieżki, której powtarzany skan nigdy nie da. Trzymaj profil i punkt końcowy na stałym poziomie przy porównywaniu sieci i zapisz, gdzie zatrzymuje się negocjacja.

Utrzymuj też autoryzowany zakres diagnostyki. Sondowanie systemów, których nie posiadasz, nie jest techniką rozwiązywania problemów, cokolwiek narzędzie mówi o wyniku.

Skan odpowiada na osiągalność. Uwierzytelnianie potrzebuje poświadczenia, a trasa potrzebuje pakietu. Skaner może zgłosić otwarty port, gdy usługa odrzuca każde logowanie, i może zgłosić zamknięty port, gdy poprawna sesja działa z innej sieci. Traktuj wynik jako jedną obserwację o jednej ścieżce, a potem sprawdź osobno poświadczenie i trasę powrotną.