Nmap arată rezultate diferite prin VPN? Fixează ținta

Două scanări de porturi ale aceluiași site pot diferi pentru că numele s-a rezolvat la altă adresă între execuții, nu pentru că tunelul a schimbat ce expune ținta. Un nume de gazdă este o instrucțiune de căutare, iar Nmap o urmează în momentul scanării. Când resolverul răspunde cu altă înregistrare, a doua scanare a măsurat alt calculator.

Fixează adresa numerică și comparația redevine semnificativă. Orice altceva din raport, de la sincronizare la echipamentele intermediare, rămâne o variabilă separată care are nevoie de propriul control.

Două experimente care arată identic într-un raport

Compară un nume cu el însuși și ai schimbat cel puțin două lucruri deodată: calea pe care merg pachetele tale și destinația pe care a returnat-o resolverul. O diferență în ieșire nu poate fi atribuită niciunuia. Această ambiguitate este motivul obișnuit pentru care o scanare înainte și după devine o dispută pe care nimeni nu o poate închide.

Compară o adresă cu ea însăși și destinația este fixă prin construcție. Tot ce încă diferă aparține căii, adresei sursă, filtrării dintre ele sau stării calculatorului însuși. Ai eliminat o variabilă, ceea ce nu este același lucru cu a le elimina pe toate.

Notează care dintre cele două experimente l-ai executat de fapt înainte de a trage orice concluzie dintr-un tabel de porturi. Distincția sună academic până când un raport spune că VPN-ul a blocat un port care nu fusese niciodată deschis pe adresa atinsă a doua oară.

Rezolvă mai întâi, apoi scanează adresa înregistrată

Separă rezolvarea de sondare pentru ca cele două fapte să ajungă în locuri diferite. Întreabă sistemul ce a rezolvat, salvează acel răspuns, apoi dă-i lui Nmap adresa literală. Repetă aceleași două comenzi cu tunelul coborât și urcat.

getent hosts scan.example.net
dig +short scan.example.net A
nmap -Pn -sV -p 443,8443 192.0.2.40

Indicatorul -Pn contează aici, pentru că o gazdă care ignoră sondele de descoperire ar fi raportată altfel ca indisponibilă, iar rezultatul gol ar fi citit greșit ca port închis. Folosește -sV doar împotriva destinațiilor aprobate de operator; sondarea versiunilor este mai zgomotoasă decât o conexiune simplă și aparține domeniului scris.

Referința de specificare a țintei din Nmap spune explicit că un nume de gazdă este rezolvat la o adresă înainte de scanare și că, atunci când se întorc mai multe adrese, instrumentul o scanează pe prima dacă nu le ceri pe toate. Nimic din acest comportament nu este specific VPN. Un DNS divizat, alt resolver sau un balansator de încărcare care răspunde într-o ordine nouă produc același efect fără niciun tunel.

Ține valoarea rezolvată lângă ieșirea scanării, cu familia de adrese, setul de indicatori și o marcă de timp. O căutare inversă care returnează numele unei companii este o altă observație, nu dovada că un backend a răspuns.

Ce poate și ce nu poate să-ți spună o stare de port schimbată

Odată ce destinația este fixată, un port care trece din deschis în filtrat indică de obicei calea. Gândește-te la un ACL în amonte, la un firewall cu stare sau la un furnizor care tratează ieșirea tunelului diferit de ieșirea rezidențială. Restrânge-l testând o a doua adresă aprobată în aceeași subrețea când domeniul permite, pentru că schimbarea numelui de gazdă ar reintroduce întrebarea resolverului. O variabilă pe execuție este întreaga metodă.

Un port care rămâne deschis în timp ce bannerul serviciului se schimbă este altă poveste. Acel tipar se potrivește unui front-end care distribuie conexiuni între backenduri, iar nicio cantitate de scanare din partea ta nu va numi chiriașul din spate.

Ceea ce scanarea nu spune niciodată este intenția. Un port filtrat este un rezultat de politică, nu dovada că cineva a ales tunelul tău, iar un port deschis nu este dovada că aplicația din spate te va servi. Corelează cu jurnalele componentei pe care o operezi înainte de a scrie oricare dintre cele două povești.

Înregistrează rezultatele pentru ca comparația să supraviețuiască revizuirii

O înregistrare utilă conține numele cerut, adresa rezolvată și familia ei, indicatorii exacți, adresa sursă în uz și autorizarea care acoperea destinația. Adaugă timpul, pentru că răspunsurile DNS se rotesc, iar un raport fără mărci de timp invită aceeași discuție de două ori. Adaugă și versiunea scanerului, pentru că comportamentul implicit de sondare derivează între versiuni. Dacă două execuții au folosit metode diferite, tratează-le ca experimente diferite și spune asta în titlu, nu în nota de subsol.

Etichetează constatarea pentru ce este: destinații diferite, căi sursă diferite sau o diferență încă neexplicată. Acel vocabular menține onest un raport de scanare și împiedică republicarea unui răspuns de resolver ca eveniment de interceptare VPN. Pasul următor este de obicei încă o execuție cu adresa fixată, nu o scanare mai largă.