การสแกนพอร์ตไม่อาจบอกได้ว่าใครยอมรับการเข้าสู่ระบบ

คำถามสามข้อปนกันเมื่อมีคนโบกผลการสแกนพอร์ตใส่ปัญหาวีพีเอ็น: มีอะไรเข้าถึงได้หรือไม่ มันคือบริการที่คุณคิดหรือเปล่า และมันจะยอมรับตัวตนของคุณหรือไม่ เครื่องสแกนตอบข้อแรกและชี้อ้อม ๆ ไปยังข้อที่สอง ข้อที่สามมันตอบไม่ได้เลย เพราะการยอมรับข้อมูลรับรองไม่ใช่สิ่งที่การตรวจสอบระดับการรับส่งทำ ต้องตัดสินใจก่อนอ่านผลว่าคุณกำลังถามคำถามข้อไหน

เครื่องมือไม่ได้ผิด มันกำลังตอบคำถามที่แคบกว่าคำถามบนโต๊ะ

ซ็อกเก็ตที่เปิดอยู่เป็นข้อเท็จจริงเกี่ยวกับซ็อกเก็ต

การเชื่อมต่อ TCP สำเร็จหมายความว่ามีบางอย่างยอมรับปลายทางนั้น มันไม่ได้ยืนยันว่าตัวรับฟังคือบริการวีพีเอ็นที่ตั้งใจ ว่าใบรับรองที่นำเสนอตรงกับชื่อที่คุณคาดหวัง หรือว่าการตรวจสอบ TLS จะผ่าน หน้าการจัดการเกตเวย์บนชื่อโฮสต์เดียวกันเป็นอีกบริการหนึ่งโดยสิ้นเชิง และไม่ได้แสดงอะไรเกี่ยวกับอุโมงค์ ควรถือว่าผลเป็นข้อเท็จจริงเรื่องการเข้าถึงเท่านั้น

จุดที่การตรวจสอบช่วยได้จริงคือการตัดตัวเลือกออก หากไม่มีอะไรยอมรับการเชื่อมต่อจากที่ที่คุณอยู่ การจับมือย่อมสำเร็จไม่ได้ และนั่นทำให้การค้นหาแคบลงเหลือเรื่องการเข้าถึงก่อนสิ่งอื่นใด

ความเงียบของ UDP มีคำอธิบายหลายอย่าง

โปรโตคอล UDP อาจเพิกเฉยต่อแพ็กเก็ตที่ไม่ได้พิสูจน์ตัวตนได้อย่างชอบธรรม การไม่มีการตอบกลับจึงไม่ใช่คำตัดสิน มันอาจหมายถึงการกรองบนเส้นทาง ปลายทางที่ปิด หรือบริการที่เงียบโดยเจตนาจนกว่าจะได้รับสิ่งที่ถูกต้อง การอ่านความเงียบเป็นพอร์ตที่ปิดทำให้คนหันไปหากฎไฟร์วอลล์ทั้งที่ความผิดพลาดจริงอยู่ในโปรไฟล์ ควรทำการตรวจสอบซ้ำจากอีกเครือข่ายหนึ่งก่อนสรุปใด ๆ

ความกำกวมเป็นคุณสมบัติของโปรโตคอล ไม่ใช่ช่องโหว่ของเครื่องมือ ควรบอกให้ชัดเมื่อรายงานผล เพราะคำตอบที่ผิดอย่างมั่นใจแย่กว่าคำตอบที่ถูกอย่างไม่แน่ใจ

การตัดสินใจเรื่องความไว้วางใจยังเป็นของคุณ

พอร์ตที่เปิดอยู่ไม่ได้ทำการตัดสินใจเรื่องความไว้วางใจ ผลจากเครื่องสแกนจึงไม่ใช่เหตุผลที่จะปิดการตรวจสอบใบรับรอง การตรวจสอบนั้นมีไว้ตอบว่าคุณไปถึงคู่ที่ตั้งใจหรือไม่ และเครื่องสแกนไม่ได้ตอบข้อนั้น ควรใช้โปรไฟล์และไคลเอนต์จริงของผู้ให้บริการสำหรับตัวตนและการพิสูจน์ตัวตน แล้วปล่อยการตั้งค่าการตรวจสอบไว้เหมือนเดิมทุกประการ

หากการสแกนบอกว่าเปิดและการจับมือล้มเหลว ส่วนที่น่าสนใจของความล้มเหลวอยู่ที่การจับมือ ไม่ใช่ที่การสแกน

ทดสอบการแลกเปลี่ยน แล้วจึงทดสอบเส้นทาง

เมื่อการพิสูจน์ตัวตนสำเร็จ ให้ตรวจขั้นตอนถัดไปแยกกัน ได้แก่ การเชื่อมโยงข้อมูล เส้นทางที่ติดตั้งไว้ และการเข้าถึงของแอปพลิเคชัน แต่ละขั้นล้มเหลวได้ในขณะที่ขั้นก่อนหน้าดูสมบูรณ์ และแต่ละขั้นมีหลักฐานของตัวเอง การเชื่อมโยงบันทึกของไคลเอนต์และตัวรับฟังกับแคปเชอร์แคบ ๆ หรือตัวนับจะให้การวินิจฉัยเส้นทางที่การสแกนซ้ำ ๆ ไม่มีทางให้ได้ ควรตรึงโปรไฟล์และปลายทางไว้เมื่อเปรียบเทียบเครือข่าย และบันทึกว่าการเจรจาหยุดที่ใด

ควรรักษาขอบเขตการวินิจฉัยให้ได้รับอนุญาตด้วย การตรวจระบบที่คุณไม่ได้เป็นเจ้าของไม่ใช่เทคนิคการแก้ปัญหา ไม่ว่าเครื่องมือจะพูดอะไรเกี่ยวกับผล

การสแกนตอบเรื่องการเข้าถึง การพิสูจน์ตัวตนต้องใช้ข้อมูลรับรอง และเส้นทางต้องใช้แพ็กเก็ต เครื่องสแกนอาจรายงานพอร์ตที่เปิดอยู่ขณะที่บริการปฏิเสธทุกการเข้าสู่ระบบ และอาจรายงานพอร์ตที่ปิดอยู่ขณะที่เซสชันที่ใช้ได้ทำงานจากอีกเครือข่าย ควรถือว่าผลเป็นการสังเกตหนึ่งครั้งเกี่ยวกับเส้นทางหนึ่งเส้นทาง แล้วทดสอบข้อมูลรับรองและเส้นทางขากลับแยกกัน