Surovo skeniranje Nmapa ne uspe prek VPN, a povezava -sT deluje?

Stran se naloži skozi tunel, medtem ko skeniranje vrat sporoča, da je gostitelj nedosegljiv, in prvi vzgib je, da VPN nekaj blokira. Običajno ne blokira nič novega. Oba preizkusa prosita operacijski sistem za različne zmožnosti in le eden potrebuje surov dostop do paketov. Ugotovite, katera zmožnost je odpovedala, preden se dotaknete tunela.

Ločite zmožnost od tunela

Običajna aplikacija prosi jedro, da odpre povezavo TCP, in jedro izvede rokovanje brez posebnih pravic. Surovo skeniranje samo sestavlja pakete, kar zahteva surovo vtičnico ali gonilnik za zajem glede na platformo. To so vprašanja dovoljenj in gonilnikov in obstajajo ne glede na to, ali je VPN povezan.

Ta razlika pojasnjuje običajno asimetrijo. curl uspe, ker pot vtičnice deluje, medtem ko skeniranje SYN ne uspe, ker proces ne more odpreti surove vtičnice na vmesniku tunela. Pojasnjuje tudi obratni primer, ko surovo skeniranje sporoča filtrirano, ker pot zavrže sondo, medtem ko pot aplikacije ostane dobra.

Noben rezultat ne opisuje oddaljene storitve. Oba opisujeta eno pot pod eno metodo, zato držite metodo privezano na sklep.

Zaženite preverjanje povezave na enem odobrenem gostitelju

Izberite edinega gostitelja, ki ga pokriva vaša naloga, nato uporabite način, ki ne zahteva surovega dostopa. Primer cilja tukaj je 198.51.100.24, dokumentacijski prostor, rezerviran za to vrsto ilustracije.

Ena vrstica, en gostitelj, ena vrata, brez faze odkrivanja:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT izbere polno povezavo TCP, zato preizkusi isto jedrno pot kot aplikacija in ne potrebuje gonilnika za zajem. -Pn preskoči odkrivanje gostiteljev; nmap vseeno opravi razreševanje na povezovalnem sloju za cilje v lokalnem segmentu, zato stikalo ni obljuba ničelnega predhodnega prometa. --unprivileged pove nmapu, naj predpostavi, da nima surovih ali prisluškovalnih pravic, kar spremeni metodo in ničesar ne podeli.

Vsako stikalo berite kot eno spremembo, ne kot popravilo

Vsako možnost obravnavajte kot trditev o metodi. Nobena od -sT, -Pn ali --unprivileged ne doda poti, ne odpre oddaljenega požarnega zidu in ne preveri potrdila. Skeniranje povezave tudi dokonča resnično rokovanje, ki ga storitev zabeleži, zato sta odobreno preverjanje in neodobreno česanje s strežnika videti enako, razen po obsegu in tempu. Kopičenje možnosti, dokler se izhod ne spremeni, je način, kako se težava metode zabeleži kot omrežna ugotovitev.

Ko izhod pravi zaprto, je nekaj odgovorilo s ponastavitvijo, in to je druga ugotovitev kot tišina. Ko izhod pravi filtrirano, je naprava zavrgla sondo ali njen odgovor, in VPN je lahko naključen. Zapišite natančno formulacijo, ker razsodba faze odkrivanja in napaka na ravni sonde kažeta na različne plasti.

Če je privilegiran način res potreben, lastnik platforme odloči, ali so pravica, gonilnik in razporeditev vmesnikov podprti. Povišanje istega klica ne spremeni njegove metode.

Ustavite se pri rezultatu prenosa, nato preizkusite storitev

Dokončano rokovanje odgovori na eno vprašanje o enem naslovu, vratih, viru in trenutku. Ne dokazuje, da je zaledni sistem zdrav, ker lahko porazdeljevalnik obremenitve ali sprednji posrednik sprejme povezavo, medtem ko aplikacija za njim ne deluje.

Nadaljujte z lastnim odjemalcem storitve, da bosta identiteta TLS in vedenje aplikacije opazovana kot ločeni dejstvi:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Še ena navada ohrani rezultat uporaben. Zapišite natančen ukaz, uporabljeni izvorni naslov in čas, ker rezultata prenosa brez tega konteksta ni mogoče ponoviti ali primerjati.

Če potrdilo navaja gostitelja, ki ga niste pričakovali, je prenos deloval in usmerjanje nikoli ni bilo težava; napaka je v virtualnem gostovanju ali DNS. Če rokovanje ne uspe, zapišite krajevni niz napake, namesto da posplošujete o tunelu. Imate opombo o obsegu ob rezultatu, ker mora naslednja oseba vedeti, katera metoda ga je ustvarila.