Nmaps råskanning misslyckas över en VPN, men -sT-anslutningen fungerar?

En sida laddas genom tunneln medan en portskanning rapporterar att värden är nere, och den första tanken är att VPN:en blockerar något. Oftast blockerar den inget nytt. De två testerna ber operativsystemet om olika förmågor, och bara en av dem behöver rå paketåtkomst. Ta reda på vilken förmåga som misslyckades innan du rör tunneln.

Skilj förmågan från tunneln

En vanlig applikation ber kärnan att öppna en TCP-anslutning, och kärnan utför handskakningen utan särskild behörighet. En rå skanning bygger paketen själv, vilket kräver en rå socket eller en avbildningsdrivrutin beroende på plattform. Det är frågor om behörigheter och drivrutiner, och de finns oavsett om en VPN är ansluten.

Den här skillnaden förklarar den vanliga asymmetrin. curl lyckas eftersom socket-vägen fungerar, medan SYN-skanningen misslyckas eftersom processen inte kan öppna en rå socket på tunnelns gränssnitt. Den förklarar också det omvända fallet, där en rå skanning rapporterar filtrerat eftersom vägen släpper sonden medan applikationens väg förblir bra.

Inget av resultaten beskriver den fjärranslutna tjänsten. Båda beskriver en väg under en metod, så håll metoden knuten till slutsatsen.

Kör anslutningskontrollen på en enda godkänd värd

Välj den enda värd som din uppgift omfattar och använd sedan läget som inte kräver rå åtkomst. Exempelmålet här är 198.51.100.24, dokumentationsutrymme som reserverats för den här typen av illustration.

En rad, en värd, en port, ingen upptäcktsfas:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT väljer en fullständig TCP-anslutning, så den går igenom samma kärnväg som en applikation använder och kräver ingen avbildningsdrivrutin. -Pn hoppar över värdidentifiering; nmap utför ändå länklagsuppslag för mål i det lokala segmentet, så flaggan är inte ett löfte om noll förhandstrafik. --unprivileged säger åt nmap att anta att det inte har några råa eller avlyssningsrättigheter, vilket ändrar metoden och inte ger något.

Läs varje flagga som en enda ändring, inte som en reparation

Behandla varje val som ett påstående om metoden. Varken -sT, -Pn eller --unprivileged lägger till en rutt, öppnar en extern brandvägg eller validerar ett certifikat. En anslutningsskanning slutför också en riktig handskakning som tjänsten loggar, så en godkänd kontroll och en icke godkänd genomgång ser likadana ut från servern förutom omfattning och takt. Att stapla val tills utdata ändras är hur ett metodproblem registreras som ett nätverksfynd.

När utdata säger stängt svarade något med en återställning, och det är ett annat fynd än tystnad. När utdata säger filtrerat släppte en enhet sonden eller dess svar, och VPN:en kan vara tillfällig. Skriv ner den exakta formuleringen, eftersom en dom från upptäcktsfasen och ett fel på sondnivå pekar på olika lager.

Om ett privilegierat läge verkligen behövs avgör plattformsägaren om rättigheten, drivrutinen och gränssnittsordningen stöds. Att höja samma anrop ändrar inte dess metod.

Stanna vid transportresultatet och testa sedan tjänsten

En slutförd handskakning svarar på en fråga om en adress, port, källa och tidpunkt. Det bevisar inte att backend är frisk, eftersom en lastbalanserare eller forward-proxy kan acceptera anslutningen medan applikationen bakom står stilla.

Fortsätt med tjänstens egen klient så att TLS-identitet och applikationsbeteende observeras som separata fakta:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Ännu en vana håller resultatet användbart. Anteckna det exakta kommandot, källadressen den använde och tiden, eftersom ett transportresultat utan den kontexten inte kan återskapas eller jämföras.

Om certifikatet namnger en värd du inte förväntade dig fungerade transporten och routning var aldrig problemet; felet ligger i virtuell hosting eller DNS. Om handskakningen misslyckas, anteckna den lokala felsträngen i stället för att generalisera om tunneln. Ha omfångsanteckningen bredvid resultatet, eftersom nästa person måste veta vilken metod som skapade det.