Surovo skeniranje Nmapa ne uspijeva preko VPN-a, ali -sT veza radi?

Stranica se učitava kroz tunel dok skeniranje portova javlja da je host nedostupan, a prva pomisao je da VPN nešto blokira. Obično ne blokira ništa novo. Dva testa traže od operacijskog sustava različite mogućnosti i samo jednom od njih treba sirovi pristup paketima. Utvrdite koja je mogućnost zakazala prije nego što dirate tunel.

Odvojite mogućnost od tunela

Obična aplikacija traži od jezgre da otvori TCP vezu i jezgra obavlja rukovanje bez posebnih ovlaštenja. Surovo skeniranje samo gradi pakete, što zahtijeva sirovi socket ili upravljački program za hvatanje, ovisno o platformi. To su pitanja dopuštenja i upravljačkih programa i ona postoje bez obzira na to je li VPN povezan.

Ta razlika objašnjava uobičajenu asimetriju. curl uspijeva jer put socketa radi, dok SYN skeniranje ne uspijeva jer proces ne može otvoriti sirovi socket na sučelju tunela. Objašnjava i obrnuti slučaj, kada surovo skeniranje javlja filtrirano jer put odbacuje sondu, a put aplikacije ostaje dobar.

Nijedan od rezultata ne opisuje udaljenu uslugu. Oba opisuju jedan put pod jednom metodom, pa držite metodu vezanom uz zaključak.

Pokrenite provjeru veze na jednom odobrenom hostu

Odaberite jedini host koji vaš zadatak pokriva, zatim upotrijebite način kojem ne treba sirovi pristup. Primjer cilja ovdje je 198.51.100.24, dokumentacijski prostor rezerviran za ovakvu ilustraciju.

Jedan redak, jedan host, jedan port, bez faze otkrivanja:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT odabire punu TCP vezu, pa isprobava isti put jezgre koji rabi aplikacija i ne treba upravljački program za hvatanje. -Pn preskače otkrivanje hostova; nmap ipak obavlja razrješavanje sloja veze za ciljeve u lokalnom segmentu, pa zastavica nije obećanje nultog prethodnog prometa. --unprivileged govori nmapu da pretpostavi kako nema sirova ni prisluškujuća prava, što mijenja metodu i ništa ne dodjeljuje.

Čitajte svaku zastavicu kao jednu promjenu, ne kao popravak

Tretirajte svaku opciju kao tvrdnju o metodi. Ni -sT, ni -Pn ni --unprivileged ne dodaje rutu, ne otvara udaljeni vatrozid ni provjerava certifikat. Skeniranje veze također dovršava stvarno rukovanje koje usluga bilježi, pa odobrena provjera i neodobreno češljanje izgledaju na poslužitelju jednako osim po opsegu i tempu. Slaženje opcija dok se izlaz ne promijeni način je na koji se problem metode zabilježi kao mrežni nalaz.

Kada izlaz kaže zatvoreno, nešto je odgovorilo resetom i to je drugačiji nalaz od tišine. Kada izlaz kaže filtrirano, uređaj je odbacio sondu ili njezin odgovor i VPN može biti slučajan. Zapišite točan izričaj jer presuda faze otkrivanja i kvar na razini sonde upućuju na različite slojeve.

Ako je privilegirani način doista potreban, vlasnik platforme odlučuje jesu li ovlaštenje, upravljački program i raspored sučelja podržani. Podizanje istog poziva ne mijenja njegovu metodu.

Zaustavite se na transportnom rezultatu, zatim isprobajte uslugu

Dovršeno rukovanje odgovara na jedno pitanje o jednoj adresi, portu, izvoru i trenutku. Ono ne dokazuje da je pozadinski sustav zdrav, jer uravnoteživač opterećenja ili prednji proxy može prihvatiti vezu dok aplikacija iza njega ne radi.

Nastavite s vlastitim klijentom usluge kako bi se identitet TLS-a i ponašanje aplikacije promatrali kao odvojene činjenice:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Još jedna navika drži rezultat korisnim. Zapišite točnu naredbu, izvornu adresu koju je rabila i vrijeme, jer se transportni rezultat bez tog konteksta ne može ponoviti ni usporediti.

Ako certifikat navodi host koji niste očekivali, transport je radio i usmjeravanje nikada nije bilo problem; kvar je u virtualnom hostingu ili DNS-u. Ako rukovanje ne uspije, zapišite lokalni niz pogreške umjesto uopćavanja o tunelu. Držite bilješku o opsegu uz rezultat jer sljedeća osoba mora znati koja ga je metoda proizvela.