Nmap visar olika resultat över VPN? Lås målet

Två portskanningar av samma webbplats kan vara oense eftersom namnet slogs upp till en annan adress mellan körningarna, inte för att tunneln ändrade vad målet exponerar. Ett värdnamn är en uppslagsinstruktion, och Nmap följer den vid skanningstillfället. När resolvern svarar med en annan post mätte den andra skanningen en annan maskin.

Lås den numeriska adressen och jämförelsen blir meningsfull igen. Allt annat i rapporten, från timing till mellanliggande enheter, förblir en separat variabel som behöver sin egen kontroll.

Två experiment som ser identiska ut i en rapport

Jämför ett namn med sig självt och du har ändrat minst två saker samtidigt: vägen dina paket tar och destinationen resolvern returnerade. En skillnad i utdata kan inte tillskrivas någon av dem. Den tvetydigheten är det vanliga skälet till att en före-och-efter-skanning blir en diskussion som ingen kan avgöra.

Jämför en adress med sig själv och destinationen är fast av konstruktion. Allt som fortfarande skiljer sig hör till vägen, källadressen, filtreringen däremellan eller maskinens eget tillstånd. Du har tagit bort en variabel, vilket inte är samma sak som att ta bort alla.

Skriv ned vilket av de två experimenten du faktiskt körde innan du drar någon slutsats från en porttabell. Skillnaden låter akademisk tills en rapport säger att VPN blockerade en port som aldrig var öppen på adressen du träffade andra gången.

Slå upp först, skanna sedan adressen du registrerade

Skilj uppslagning från sondering så att de två fakta hamnar på olika ställen. Fråga systemet vad det slog upp, spara svaret och ge sedan Nmap den bokstavliga adressen. Upprepa samma två kommandon med tunneln nere och uppe.

getent hosts scan.example.net
dig +short scan.example.net A
nmap -Pn -sV -p 443,8443 192.0.2.40

Flaggan -Pn spelar roll här, eftersom en värd som ignorerar upptäcktssonder annars skulle rapporteras som nere och det tomma resultatet läsas fel som en stängd port. Använd -sV bara mot destinationer som operatören har godkänt; versionssondering är högljuddare än en bar anslutning och hör till den skriftliga omfattningen.

Nmps referens för målspecifikation säger uttryckligen att ett värdnamn slås upp till en adress före skanning och att verktyget skannar den första när flera adresser kommer tillbaka, om du inte ber om alla. Inget i det beteendet är VPN-specifikt. Delad DNS, en annan resolver eller en lastbalanserare som svarar i ny ordning ger samma effekt utan någon tunnel.

Håll det uppslagna värdet bredvid skanningsutdata, med adressfamiljen, flagguppsättningen och en tidsstämpel. En omvänd sökning som returnerar ett företagsnamn är en annan observation, inte ett bevis på vilken backend som svarade.

Vad ett ändrat porttillstånd kan och inte kan berätta

När destinationen är låst pekar en port som växlar från öppen till filtrerad vanligtvis på vägen. Tänk på en ACL längre upp, en stateful brandvägg eller en leverantör som behandlar tunnelutgång annorlunda än bostadsutgång. Begränsa det genom att testa en andra godkänd adress i samma subnät när omfattningen tillåter, eftersom att byta värdnamn skulle återinföra resolverfrågan. En variabel per körning är hela metoden.

En port som förblir öppen medan tjänstebannern ändras är en annan historia. Det mönstret passar en frontend som fördelar anslutningar över backends, och ingen mängd skanning från din sida kommer att namnge hyresgästen bakom den.

Vad skanningen aldrig säger är avsikt. En filtrerad port är ett policyutfall, inte ett bevis på att någon har pekat ut din tunnel, och en öppen port är inte ett bevis på att applikationen bakom kommer att betjäna dig. Korrelera med loggar från komponenten du driftar innan du skriver någon av de två historierna.

Registrera resultat så att jämförelsen överlever granskning

En användbar registrering innehåller det efterfrågade namnet, den uppslagna adressen och dess familj, de exakta flaggorna, källadressen i bruk och auktoriseringen som täckte destinationen. Lägg till tiden, eftersom DNS-svar roterar och en rapport utan tidsstämplar bjuder in samma diskussion två gånger. Lägg också till skannerversionen, eftersom standardbeteendet för sondering driver mellan utgåvor. Om två körningar använde olika metoder, behandla dem som olika experiment och säg det i rubriken, inte i fotnoten.

Märk fyndet för vad det är: olika destinationer, olika källvägar eller en skillnad som fortfarande är oförklarad. Den vokabulären håller en skanningsrapport ärlig och hindrar ett resolversvar från att publiceras igen som en VPN-avlyssningshändelse. Nästa steg är vanligtvis ännu en körning med adressen låst, inte en bredare skanning.