Nmap zobrazuje cez VPN iné výsledky? Zafixujte cieľ
Názov hostiteľa sa po nadvihnutí tunela môže preložiť na inú adresu. Držte číselný cieľ pevne, kým zo zmenených stavov portov niečo vyvodíte.
Dve skenovania portov tej istej stránky sa môžu rozísť, pretože sa názov medzi behmi preložil na inú adresu, nie preto, že tunel zmenil, čo cieľ odhaľuje. Názov hostiteľa je pokyn na vyhľadanie a Nmap ho pri skenovaní nasleduje. Keď resolver odpovie iným záznamom, druhé skenovanie zmeralo iný stroj.
Zafixujte číselnú adresu a porovnanie znovu nadobudne zmysel. Všetko ostatné v správe, od časovania po medziľahlé zariadenia, zostáva samostatnou premennou, ktorá potrebuje vlastnú kontrolu.
Dva experimenty, ktoré v správe vyzerajú rovnako
Porovnajte názov s ním samým a zmenili ste naraz aspoň dve veci: cestu, ktorou idú vaše pakety, a cieľ, ktorý resolver vrátil. Rozdiel vo výstupe nemožno pripísať ani jednej z nich. Táto nejednoznačnosť je obvyklý dôvod, prečo sa skenovanie pred a po zvrhne na hádku, ktorú nikto nedokáže uzavrieť.
Porovnajte adresu s ňou samou a cieľ je pevný už konštrukciou. Všetko, čo sa ešte líši, patrí ceste, zdrojovej adrese, filtrovaniu medzi nimi alebo vlastnému stavu stroja. Odstránili ste jednu premennú, čo nie je to isté ako odstrániť všetky.
Než z tabuľky portov vyvodíte akýkoľvek záver, zapíšte, ktorý z tých dvoch experimentov ste vlastne vykonali. Rozdiel znie akademicky, dokým správa nepovie, že VPN zablokovala port, ktorý nikdy nebol otvorený na adrese, ktorú ste zasiahli druhýkrát.
| Comparison | What stays fixed | What a difference can mean |
|---|---|---|
| Name against name | The string you typed | Resolver answer, answer order or split-horizon policy changed |
| Address against address | The numeric destination | Source path, filtering or service placement changed |
Najprv preložte, potom skenujte zaznamenanú adresu
Oddeľte preklad od sondovania, aby oba fakty skončili na rôznych miestach. Spýtajte sa systému, čo preložil, odpoveď uložte a potom dajte Nmapu doslovnú adresu. Zopakujte tie isté dva príkazy s tunelom dole aj hore.
getent hosts scan.example.net dig +short scan.example.net A nmap -Pn -sV -p 443,8443 192.0.2.40
Príznak -Pn je tu dôležitý, pretože hostiteľ, ktorý ignoruje objavovacie sondy, by bol inak nahlásený ako nedostupný a prázdny výsledok by sa nesprávne prečítal ako zatvorený port. -sV používajte len proti cieľom, ktoré operátor schválil; sondovanie verzií je hlučnejšie ako holé pripojenie a patrí do písomného rozsahu.
Nmap referencia špecifikácie cieľov výslovne hovorí, že názov hostiteľa sa pred skenovaním preloží na adresu a že pri viacerých vrátených adresách nástroj skenuje prvú, ak si nevyžiadate všetky. Nič v tomto správaní nie je špecifické pre VPN. Rozdelený DNS, iný resolver alebo vyrovnávač zaťaženia odpovedajúci v novom poradí dajú rovnaký efekt bez akéhokoľvek tunela.
Uchovajte preloženú hodnotu vedľa výstupu skenovania, s rodinou adries, sadou príznakov a časovou značkou. Reverzné vyhľadanie, ktoré vráti názov firmy, je ďalšie pozorovanie, nie dôkaz, ktorý backend odpovedal.
Čo vám zmenený stav portu môže a nemôže povedať
Keď je cieľ zafixovaný, port, ktorý prechádza z otvoreného na filtrovaný, zvyčajne ukazuje na cestu. Pomyslite na ACL vyššie po ceste, stavový firewall alebo poskytovateľa, ktorý zaobchádza s výstupom tunela inak ako s domácim výstupom. Zúžte to testovaním druhej schválenej adresy v tej istej podsieti, keď to rozsah dovolí, pretože výmena názvu hostiteľa by vrátila otázku resolvera. Jedna premenná na beh je celá metóda.
Port, ktorý zostáva otvorený, kým sa mení banner služby, je iný príbeh. Ten vzor sedí front-endu, ktorý rozdeľuje spojenia medzi backendy, a žiadne množstvo skenovania z vašej strany nájomcu za ním nepomenuje.
Čo skenovanie nikdy nepovie, je úmysel. Filtrovaný port je výsledok politiky, nie dôkaz, že niekto vyčlenil váš tunel, a otvorený port nie je dôkaz, že aplikácia za ním vám bude slúžiť. Prepojte to s logmi komponentu, ktorý prevádzkujete, než napíšete ktorýkoľvek z tých dvoch príbehov.
Zaznamenávajte výsledky, aby porovnanie prežilo kontrolu
Užitočný záznam obsahuje požadovaný názov, preloženú adresu a jej rodinu, presné príznaky, používanú zdrojovú adresu a oprávnenie, ktoré cieľ pokrývalo. Pridajte čas, pretože odpovede DNS rotujú a správa bez časových značiek pozýva tú istú hádku dvakrát. Pridajte aj verziu skenera, pretože predvolené správanie sond sa medzi vydaniami posúva. Ak dva behy použili rôzne metódy, berte ich ako rôzne experimenty a povedzte to v nadpise, nie v poznámke pod čiarou.
Označte nález tým, čím je: iné ciele, iné zdrojové cesty alebo rozdiel, ktorý stále nie je vysvetlený. Ten slovník udržiava správu zo skenovania čestnou a bráni tomu, aby sa odpoveď resolvera znova publikovala ako udalosť zachytenia VPN. Ďalším krokom je zvyčajne jeden ďalší beh so zafixovanou adresou, nie širšie skenovanie.