Сирово скенирање Nmap-а не ради преко VPN-а, али -sT веза ради?

Страница се учитава кроз тунел, док скенирање портова пријављује да је домаћин недоступан, и прва помисао је да VPN нешто блокира. Обично не блокира ништа ново. Два теста траже од оперативног система различите могућности, и само једном је потребан сиров приступ пакетима. Утврдите која могућност је отказала пре него што дотакнете тунел.

Одвојте могућност од тунела

Обична апликација тражи од језгра да отвори TCP везу, и језгро обавља руковање без посебне привилегије. Сирово скенирање само гради пакете, што захтева сирови сокет или драјвер за хватање зависно од платформе. То су питања дозвола и драјвера, и постоје без обзира на то да ли је VPN повезан.

Ова разлика објашњава уобичајену асиметрију. curl успева јер пут сокета ради, док SYN скенирање не успева јер процес не може да отвори сирови сокет на интерфејсу тунела. Такође објашњава обрнути случај, када сирово скенирање пријављује филтрирано јер пут одбацује сонду, док пут апликације остаје добар.

Ниједан резултат не описује удаљену услугу. Оба описују један пут под једном методом, зато држите метод привезан за закључак.

Покрените проверу везе на једном одобреном домаћину

Изаберите једини домаћин који покрива ваш задатак, затим користите режим који не захтева сиров приступ. Пример циља овде је 198.51.100.24, документациони простор резервисан за ову врсту илустрације.

Један ред, један домаћин, један порт, без фазе откривања:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT бира пуну TCP везу, тако да пролази истим путем језгра као апликација и не захтева драјвер за хватање. -Pn прескаче откривање домаћина; nmap ипак обавља разрешавање на слоју везе за циљеве у локалном сегменту, тако да прекидач није обећање нултог претходног саобраћаја. --unprivileged каже nmap-у да претпостави да нема сирова или права прислушкивања, што мења метод и ништа не даје.

Читајте сваки прекидач као једну промену, не као поправку

Третирајте сваку опцију као тврдњу о методу. Ни -sT, ни -Pn ни --unprivileged не додаје руту, не отвара удаљени заштитни зид нити валидира сертификат. Скенирање везом такође завршава стварно руковање које услуга бележи, зато одобрена провера и неодобрено прегледање изгледају са сервера исто осим по обиму и темпу. Нагомилавање опција док се излаз не промени је начин на који се проблем метода забележи као мрежни налаз.

Када излаз каже затворено, нешто је одговорило ресетом, и то је другачији налаз од тишине. Када излаз каже филтрирано, уређај је одбацио сонду или њен одговор, и VPN може бити случајан. Запишите тачан израз, јер пресуда фазе откривања и квар на нивоу сонде указују на различите слојеве.

Ако је привилеговани режим заиста потребан, власник платформе одлучује да ли су привилегија, драјвер и распоред интерфејса подржани. Подизање истог позива не мења његов метод.

Зауставите се на резултату транспорта, затим тестирајте услугу

Завршено руковање одговара на једно питање о једној адреси, порту, извору и тренутку. Оно не доказује да је позадински систем здрав, јер балансер оптерећења или предњи прокси може да прихвати везу док апликација иза њега не ради.

Наставите сопственим клијентом услуге да би се TLS идентитет и понашање апликације посматрали као одвојене чињенице:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Још једна навика чува резултат корисним. Запишите тачну команду, коришћену изворну адресу и време, јер резултат транспорта без тог контекста не може да се понови или упореди.

Ако сертификат наводи домаћина којег нисте очекивали, транспорт је радио и рутирање никада није било проблем; квар је у виртуелном хостингу или DNS-у. Ако руковање не успе, запишите локални низ грешке уместо да генерализујете о тунелу. Држите белешку о обиму поред резултата, јер следећа особа мора да зна који метод га је створио.