Nmap показывает разные результаты через VPN? Закрепите цель
Имя хоста может разрешиться в другой адрес после поднятия туннеля. Держите числовую цель фиксированной, прежде чем делать выводы из изменённых состояний портов.
Два сканирования портов одного сайта могут разойтись потому, что имя между запусками разрешилось в другой адрес, а не потому, что туннель изменил то, что раскрывает цель. Имя хоста — это инструкция поиска, и Nmap следует ей в момент сканирования. Когда распознаватель отвечает другой записью, второе сканирование измерило другую машину.
Закрепите числовой адрес, и сравнение снова обретает смысл. Всё остальное в отчёте, от замеров времени до промежуточных устройств, остаётся отдельной переменной, которой нужен собственный контроль.
Два эксперимента, которые в отчёте выглядят одинаково
Сравните имя с ним самим, и вы изменили как минимум две вещи сразу: путь, по которому идут ваши пакеты, и пункт назначения, который вернул распознаватель. Разницу в выводе нельзя отнести ни к одной из них. Эта неоднозначность — обычная причина, по которой сканирование до и после превращается в спор, который никто не может разрешить.
Сравните адрес с ним самим, и пункт назначения фиксирован по построению. Всё, что ещё различается, относится к пути, адресу источника, фильтрации между ними или собственному состоянию машины. Вы убрали одну переменную, что не то же самое, что убрать все.
Запишите, какой из этих двух экспериментов вы действительно выполнили, прежде чем делать какой-либо вывод из таблицы портов. Различие звучит академично, пока отчёт не скажет, что VPN заблокировал порт, который никогда не был открыт на адресе, куда вы попали во второй раз.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Сначала разрешите, затем сканируйте записанный адрес
Разделите разрешение и зондирование, чтобы два факта оказались в разных местах. Спросите систему, что она разрешила, сохраните этот ответ, затем передайте Nmap буквальный адрес. Повторите те же две команды при опущенном и поднятом туннеле.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
Флаг -Pn здесь важен, потому что хост, игнорирующий зонды обнаружения, иначе был бы отчитан как недоступный, а пустой результат прочитан как закрытый порт. Используйте -sV только против целей, одобренных оператором; зондирование версий громче простого соединения и относится к письменному охвату.
Справочник по спецификации целей Nmap прямо говорит, что имя хоста разрешается в адрес перед сканированием и что при нескольких возвращённых адресах инструмент сканирует первый, если не запросить все. Ничто в этом поведении не специфично для VPN. Разделённый DNS, другой распознаватель или балансировщик нагрузки, отвечающий в новом порядке, дают тот же эффект без всякого туннеля.
Держите разрешённое значение рядом с выводом сканирования, вместе с семейством адресов, набором флагов и отметкой времени. Обратный поиск, возвращающий название компании, — ещё одно наблюдение, а не доказательство того, какой бэкенд ответил.
Что изменённое состояние порта может и чего не может вам сказать
Когда пункт назначения закреплён, порт, переходящий из открытого в фильтруемый, обычно указывает на путь. Подумайте об ACL выше по цепочке, межсетевом экране с состоянием или провайдере, который обращается с выходом туннеля иначе, чем с домашним выходом. Сузьте его, проверив второй одобренный адрес в той же подсети, когда охват позволяет, потому что замена имени хоста снова внесла бы вопрос распознавателя. Одна переменная на запуск — весь метод.
Порт, который остаётся открытым, пока меняется баннер службы, — другая история. Этот образец подходит фронтенду, распределяющему соединения между бэкендами, и никакое количество сканирования с вашей стороны не назовёт арендатора за ним.
Чего сканирование никогда не говорит — это намерение. Фильтруемый порт — результат политики, а не доказательство того, что кто-то выбрал ваш туннель, а открытый порт — не доказательство того, что приложение за ним будет вас обслуживать. Сопоставьте с журналами компонента, которым вы управляете, прежде чем писать любую из двух историй.
Записывайте результаты, чтобы сравнение выдержало проверку
Полезная запись содержит запрошенное имя, разрешённый адрес и его семейство, точные флаги, используемый адрес источника и авторизацию, покрывавшую пункт назначения. Добавьте время, потому что ответы DNS вращаются, а отчёт без отметок времени дважды приглашает один и тот же спор. Добавьте и версию сканера, потому что поведение зондирования по умолчанию смещается между выпусками. Если два запуска использовали разные методы, рассматривайте их как разные эксперименты и скажите это в заголовке, а не в сноске.
Помечайте находку тем, чем она является: разные пункты назначения, разные пути источника или различие, всё ещё не объяснённое. Этот словарь сохраняет отчёт о сканировании честным и не даёт ответу распознавателя снова быть опубликованным как событие перехвата VPN. Следующий шаг обычно — ещё один запуск с закреплённым адресом, а не более широкое сканирование.