O Nmap mostra resultados diferentes através de uma VPN? Fixe o alvo

Duas análises de portas do mesmo site podem divergir porque o nome foi resolvido para outro endereço entre as execuções, e não porque o túnel mudou o que o alvo expõe. Um nome de anfitrião é uma instrução de pesquisa, e o Nmap segue-a no momento da análise. Quando o resolver responde com outro registo, a segunda análise mediu outra máquina.

Fixe o endereço numérico e a comparação volta a fazer sentido. Todo o resto do relatório, do tempo aos dispositivos intermédios, continua a ser uma variável separada que precisa do seu próprio controlo.

Duas experiências que parecem idênticas num relatório

Compare um nome consigo mesmo e mudou pelo menos duas coisas ao mesmo tempo: o caminho que os seus pacotes percorrem e o destino que o resolver devolveu. Uma diferença na saída não pode ser atribuída a nenhum dos dois. Essa ambiguidade é a razão habitual pela qual uma análise de antes e depois se transforma numa discussão que ninguém consegue resolver.

Compare um endereço consigo mesmo e o destino fica fixo por construção. Tudo o que ainda difere pertence ao caminho, ao endereço de origem, à filtragem intermédia ou ao estado da própria máquina. Removeu uma variável, o que não é o mesmo que removê-las todas.

Anote qual dessas duas experiências executou realmente antes de tirar qualquer conclusão de uma tabela de portas. A distinção soa académica até um relatório dizer que a VPN bloqueou uma porta que nunca esteve aberta no endereço alcançado da segunda vez.

Resolva primeiro, depois analise o endereço registado

Separe a resolução da sondagem para que os dois factos fiquem em locais diferentes. Pergunte ao sistema o que resolveu, guarde essa resposta e depois entregue ao Nmap o endereço literal. Repita os mesmos dois comandos com o túnel em baixo e em cima.

getent hosts scan.example.net
dig +short scan.example.net A
nmap -Pn -sV -p 443,8443 192.0.2.40

O sinalizador -Pn importa aqui, porque um anfitrião que ignora as sondas de descoberta seria reportado como em baixo e o resultado vazio lido erradamente como uma porta fechada. Use -sV apenas contra destinos aprovados pelo operador; a sondagem de versões faz mais ruído do que uma ligação simples e pertence ao âmbito escrito.

A referência de especificação de alvo do Nmap diz explicitamente que um nome de anfitrião é resolvido para um endereço antes da análise e que, quando voltam vários endereços, a ferramenta analisa o primeiro a menos que peça todos. Nada nesse comportamento é específico da VPN. Um DNS dividido, um resolver diferente ou um balanceador de carga que responde numa nova ordem produzem o mesmo efeito sem qualquer túnel.

Mantenha o valor resolvido junto à saída da análise, com a família de endereços, o conjunto de sinalizadores e um carimbo temporal. Uma pesquisa inversa que devolve o nome de uma empresa é outra observação, não a prova de que backend respondeu.

O que um estado de porta alterado pode e não pode dizer-lhe

Depois de o destino estar fixo, uma porta que passa de aberta a filtrada aponta normalmente para o caminho. Pense numa ACL a montante, numa firewall com estado ou num fornecedor que trata a saída do túnel de forma diferente da saída residencial. Restrinja-a testando um segundo endereço aprovado na mesma sub-rede quando o âmbito o permite, porque trocar o nome de anfitrião reintroduziria a pergunta do resolver. Uma variável por execução é todo o método.

Uma porta que permanece aberta enquanto o banner do serviço muda é outra história. Esse padrão encaixa num front-end que distribui ligações entre backends, e nenhuma quantidade de análise do seu lado nomeará o inquilino por trás dele.

O que a análise nunca diz é a intenção. Uma porta filtrada é um resultado de política, não a prova de que alguém escolheu o seu túnel, e uma porta aberta não é a prova de que a aplicação por trás o servirá. Correlacione com os registos do componente que opera antes de escrever qualquer das duas histórias.

Registe os resultados para que a comparação sobreviva à revisão

Um registo útil contém o nome pedido, o endereço resolvido e a sua família, os sinalizadores exatos, o endereço de origem em uso e a autorização que cobria o destino. Acrescente a hora, porque as respostas DNS rodam e um relatório sem carimbos temporais convida a mesma discussão duas vezes. Acrescente também a versão do analisador, porque o comportamento de sondagem predefinido deriva entre versões. Se duas execuções usaram métodos diferentes, trate-as como experiências distintas e diga-o no título, não na nota de rodapé.

Rotule o achado pelo que é: destinos diferentes, caminhos de origem diferentes ou uma diferença ainda por explicar. Esse vocabulário mantém um relatório de análise honesto e impede que uma resposta do resolver seja republicada como um evento de interceção de VPN. O passo seguinte é normalmente mais uma execução com o endereço fixo, não uma análise mais ampla.