Сканирование портов не скажет, кто принимает вход

Три вопроса смешиваются, когда кто-то размахивает результатом сканирования портов перед проблемой VPN: доступно ли что-нибудь, та ли это служба, о которой вы думаете, и примет ли она вашу личность. Сканер отвечает на первый и неясно намекает на второй. На третий он вообще не может ответить, потому что приём учётных данных — не то, что делает транспортный зонд. Решите, какой вопрос вы задаёте, прежде чем читать вывод.

Инструмент не ошибается; он отвечает на более узкий вопрос, чем тот, что лежит на столе.

Открытый сокет — это факт о сокете

Успешное TCP-соединение означает, что что-то приняло эту конечную точку. Оно не доказывает, что слушатель — нужная служба VPN, что предъявленный сертификат соответствует ожидаемому имени или что проверка TLS пройдёт. Страница администрирования шлюза на том же имени хоста — совсем другая служба, и она ничего не говорит о туннеле. Относитесь к результату как к факту доступности и не более.

Там, где зонд действительно помогает, — это исключение. Если ничего не принимает соединение с вашего места, рукопожатие не может состояться, и это сужает поиск до доступности прежде всего остального.

У молчания UDP есть несколько объяснений

Протоколы UDP могут законно игнорировать пакеты, которые не аутентифицированы, поэтому отсутствие ответа — не приговор. Это может означать фильтрацию на пути, закрытую конечную точку или службу, которая намеренно молчит, пока не получит что-то допустимое. Чтение молчания как закрытого порта отправляет людей к правилам брандмауэра, тогда как настоящая неисправность — в профиле. Повторите зонд из другой сети, прежде чем делать какие-либо выводы.

Неоднозначность — свойство протокола, а не пробел в инструменте. Скажите об этом прямо, сообщая результат, потому что уверенный неверный ответ хуже неуверенного верного.

Решение о доверии остаётся за вами

Открытый порт не принимает решение о доверии, поэтому результат сканера не повод отключать проверки сертификатов. Эта проверка существует, чтобы ответить, дошли ли вы до нужного партнёра, и сканер на это не ответил. Используйте настоящий профиль и клиент оператора для личности и аутентификации, а затем оставьте настройки проверки точно такими, какими они были.

Если сканирование говорит «открыто», а рукопожатие не удаётся, интересная часть отказа — в рукопожатии, а не в сканировании.

Сначала проверьте обмен, затем маршрут

Когда аутентификация удаётся, проверьте следующие этапы по отдельности: связывание данных, установленные маршруты и доступ приложений. Каждый может отказать, пока предыдущий выглядел здоровым, и у каждого есть свои доказательства. Сопоставление журналов клиента и слушателя с узкими захватами или счётчиками даёт диагностику пути, которой повторное сканирование никогда не даст. Держите профиль и конечную точку неизменными при сравнении сетей и записывайте, где останавливаются переговоры.

Держите и область диагностики разрешённой. Зондирование систем, которыми вы не владеете, — не метод поиска неисправностей, что бы инструмент ни говорил о результате.

Сканирование отвечает о доступности. Аутентификации нужны учётные данные, а маршруту — пакет. Сканер может сообщить об открытом порте, пока служба отклоняет каждый вход, и может сообщить о закрытом порте, пока действующая сессия работает из другой сети. Относитесь к результату как к одному наблюдению об одном пути, а затем проверьте учётные данные и обратный маршрут по отдельности.