En portskanning kan inte säga vem som accepterar inloggningen

Tre frågor blandas ihop när någon viftar med en portskanning framför ett VPN-problem: är något nåbart, är det tjänsten du tror, och kommer den att acceptera din identitet. En skanner svarar på den första och pekar vagt på den andra. Den tredje kan den inte svara på alls, eftersom att acceptera en inloggningsuppgift inte är vad en transportsond gör. Bestäm vilken fråga du ställer innan du läser utdata.

Verktyget har inte fel; det svarar på en snävare fråga än den som ligger på bordet.

En öppen socket är ett faktum om en socket

En lyckad TCP-anslutning betyder att något accepterade den slutpunkten. Den fastställer inte att lyssnaren är den avsedda VPN-tjänsten, att certifikatet som presenteras matchar namnet du förväntar dig, eller att TLS-verifieringen skulle gå igenom. En administrationssida för gatewayen på samma värdnamn är en helt annan tjänst, och den visar ingenting om tunneln. Behandla resultatet som ett nåbarhetsfaktum och inget mer.

Där sonden verkligen hjälper är att utesluta. Om ingenting accepterar anslutningen där du sitter kan handskakningen inte lyckas, och det snävar in sökningen till nåbarhet före allt annat.

UDP-tystnad har flera förklaringar

UDP-protokoll får legitimt ignorera paket som inte är autentiserade, så ett uteblivet svar är ingen dom. Det kan betyda filtrering på vägen, en stängd slutpunkt eller en tjänst som medvetet är tyst tills den får något giltigt. Att läsa tystnad som en stängd port skickar folk till brandväggsregler medan det verkliga felet ligger i profilen. Upprepa sonden från ett annat nätverk innan du drar någon slutsats.

Tvetydigheten är en egenskap hos protokollet, inte en lucka i verktyget. Säg det tydligt när du rapporterar resultatet, för ett självsäkert fel svar är värre än ett osäkert rätt.

Förtroendebeslutet är fortfarande ditt

En öppen port fattar inte förtroendebeslutet, så ett skannerresultat är ingen anledning att stänga av certifikatkontrollerna. Den verifieringen finns för att svara på om du nådde den avsedda motparten, och en skanner har inte svarat på det. Använd operatörens riktiga profil och klient för identitet och autentisering och lämna sedan verifieringsinställningarna exakt som de var.

Om skanningen säger öppen och handskakningen misslyckas, ligger den intressanta delen av felet i handskakningen, inte i skanningen.

Testa utbytet, sedan rutten

När autentiseringen lyckas, granska nästa steg separat: datakoppling, installerade rutter och applikationsåtkomst. Varje steg kan misslyckas medan det föregående såg friskt ut, och varje har sina egna bevis. Att korrelera klient- och lyssnarloggar med smala fångster eller räknare ger en vägdiagnos som upprepad skanning aldrig kommer att ge. Håll profilen och slutpunkten fasta när du jämför nätverk, och notera var förhandlingen stannar.

Håll också diagnostikens omfattning auktoriserad. Att sondera system du inte äger är inte en felsökningsteknik, vad verktyget än säger om resultatet.

Skanningen svarar på nåbarhet. Autentisering behöver en inloggningsuppgift, och rutten behöver ett paket. En skanner kan rapportera en öppen port medan tjänsten avvisar varje inloggning, och den kan rapportera en stängd port medan en giltig session fungerar från ett annat nätverk. Behandla resultatet som en observation om en väg, och testa sedan inloggningsuppgiften och returrutten separat.