Nabigo ang raw scan ng Nmap sa VPN ngunit gumagana ang -sT na koneksyon?

Naglo-load ang pahina sa tunnel habang iniuulat ng pag-scan ng port na down ang host, at ang unang hinala ay may hinaharangan ang VPN. Karaniwang wala itong hinaharangang bago. Magkaibang kakayahan ang hinihingi ng dalawang pagsubok sa operating system, at isa lang sa kanila ang kailangan ng raw na pag-access sa packet. Alamin kung aling kakayahan ang nabigo bago hipuin ang tunnel.

Ihiwalay ang kakayahan sa tunnel

Hinihiling ng ordinaryong aplikasyon sa kernel na magbukas ng TCP na koneksyon, at ginagawa ng kernel ang handshake nang walang espesyal na pribilehiyo. Ang raw na pag-scan ay sarili nitong bumubuo ng packet, na nangangailangan ng raw socket o capture driver depende sa platform. Mga tanong ito sa pahintulot at driver, at umiiral ang mga ito may VPN man o wala.

Ipinapaliwanag ng pagkakaibang ito ang karaniwang asimetriya. Nagtagumpay ang curl dahil gumagana ang landas ng socket, habang nabigo ang SYN scan dahil hindi makabukas ang proseso ng raw socket sa interface ng tunnel. Ipinapaliwanag din nito ang kabaligtaran, kung saan iniuulat ng raw scan na filtered dahil itinatapon ng landas ang probe habang nananatiling maayos ang landas ng aplikasyon.

Wala sa dalawang resulta ang naglalarawan ng malayong serbisyo. Pareho silang naglalarawan ng isang landas sa ilalim ng isang paraan, kaya ikabit ang paraan sa konklusyon.

Patakbuhin ang pagsusuri ng koneksyon sa isang aprubadong host

Piliin ang nag-iisang host na saklaw ng iyong gawain, pagkatapos ay gamitin ang mode na hindi nangangailangan ng raw na pag-access. Ang halimbawang target dito ay 198.51.100.24, espasyong pangkumento na nakalaan para sa ganitong uri ng paglalarawan.

Isang linya, isang host, isang port, walang yugto ng pagtuklas:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

Pinipili ng -sT ang buong TCP na koneksyon, kaya ginagamit nito ang parehong landas ng kernel na ginagamit ng aplikasyon at hindi kailangan ng capture driver. Nilalaktawan ng -Pn ang pagtuklas ng host; nagsasagawa pa rin ang nmap ng link-layer resolution para sa mga target sa lokal na segment, kaya hindi pangako ng zero na paunang trapiko ang flag na ito. Sinasabi ng --unprivileged sa nmap na ipagpalagay na wala itong raw o pakikinig na karapatan, na nagbabago ng paraan at walang naibibigay.

Basahin ang bawat flag bilang isang pagbabago, hindi bilang pagkukumpuni

Ituring ang bawat opsyon bilang pahayag tungkol sa paraan. Wala sa -sT, -Pn o --unprivileged ang nagdadagdag ng ruta, nagbubukas ng malayong firewall o nagpapatunay ng sertipiko. Kinukumpleto rin ng connection scan ang tunay na handshake na itinatala ng serbisyo, kaya ang aprubadong pagsusuri at hindi aprubadong paghagod ay magkamukha mula sa server maliban sa saklaw at bilis. Ang pagpatong ng mga opsyon hanggang magbago ang output ang paraan ng pagtatala ng problema sa paraan bilang natuklasan sa network.

Kapag sinabi ng output na sarado, may sumagot ng reset, at ibang natuklasan iyon kaysa katahimikan. Kapag sinabi ng output na filtered, may device na nagtapon ng probe o ng sagot nito, at maaaring hindi kaugnay ang VPN. Isulat ang eksaktong pananalita, dahil ang hatol ng yugto ng pagtuklas at ang pagkabigo sa antas ng probe ay tumutukoy sa magkaibang patong.

Kung tunay na kailangan ang privileged mode, ang may-ari ng platform ang magpapasya kung sinusuportahan ang pribilehiyo, driver at kaayusan ng interface. Ang pagtataas ng parehong tawag ay hindi nagbabago ng paraan nito.

Huminto sa resulta ng transportasyon, pagkatapos ay subukan ang serbisyo

Ang kumpletong handshake ay sumasagot sa isang tanong tungkol sa isang address, port, pinagmulan at sandali. Hindi nito pinapatunayan na maayos ang backend, dahil maaaring tanggapin ng load balancer o forward proxy ang koneksyon habang nakatigil ang aplikasyon sa likod nito.

Magpatuloy sa sariling kliyente ng serbisyo upang maobserbahan ang pagkakakilanlang TLS at pag-uugali ng aplikasyon bilang magkahiwalay na katotohanan:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Isang ugali pa ang nagpapanatiling kapaki-pakinabang ang resulta. Isulat ang eksaktong utos, ang pinagmulang address na ginamit at ang oras, dahil ang resulta ng transportasyon na wala ang kontekstong iyon ay hindi maaaring ulitin o ihambing.

Kung pinangalanan ng sertipiko ang host na hindi mo inaasahan, gumana ang transportasyon at hindi kailanman naging problema ang pagruruta; nasa virtual hosting o DNS ang depekto. Kung nabigo ang handshake, itala ang lokal na string ng error sa halip na magbigay ng pangkalahatang pahayag tungkol sa tunnel. Itago ang tala ng saklaw sa tabi ng resulta, dahil kailangang malaman ng susunod na tao kung aling paraan ang lumikha nito.