Nmap показує різні результати через VPN? Закріпіть ціль

Два сканування портів одного сайту можуть розійтися тому, що ім'я між запусками розв'язалося в іншу адресу, а не тому, що тунель змінив те, що розкриває ціль. Ім'я хоста — це інструкція пошуку, і Nmap дотримується її в момент сканування. Коли розв'язувач відповідає іншим записом, друге сканування виміряло іншу машину.

Закріпіть числову адресу, і порівняння знову набуває сенсу. Усе інше у звіті, від вимірювання часу до проміжних пристроїв, залишається окремою змінною, яка потребує власного контролю.

Два експерименти, які у звіті виглядають однаково

Порівняйте ім'я з ним самим, і ви змінили щонайменше дві речі одразу: шлях, яким ідуть ваші пакети, і пункт призначення, який повернув розв'язувач. Різницю у виводі не можна приписати жодній із них. Ця неоднозначність — звичайна причина, чому сканування до і після перетворюється на суперечку, яку ніхто не може розв'язати.

Порівняйте адресу з нею самою, і пункт призначення фіксований за побудовою. Усе, що ще відрізняється, належить шляху, адресі джерела, фільтрації між ними або власному стану машини. Ви прибрали одну змінну, що не те саме, що прибрати всі.

Запишіть, який із цих двох експериментів ви насправді виконали, перш ніж робити будь-який висновок із таблиці портів. Різниця звучить академічно, доки звіт не скаже, що VPN заблокував порт, який ніколи не був відкритий на адресі, куди ви потрапили вдруге.

Спочатку розв'яжіть, потім скануйте записану адресу

Відокремте розв'язання від зондування, щоб два факти опинилися в різних місцях. Запитайте систему, що вона розв'язала, збережіть цю відповідь, потім передайте Nmap буквальну адресу. Повторіть ті самі дві команди з опущеним і піднятим тунелем.

getent hosts scan.example.net
dig +short scan.example.net A
nmap -Pn -sV -p 443,8443 192.0.2.40

Прапорець -Pn тут важливий, бо хост, який ігнорує зонди виявлення, інакше був би звітований як недоступний, а порожній результат прочитано як закритий порт. Використовуйте -sV лише проти цілей, схвалених оператором; зондування версій гучніше за просте з'єднання і належить до письмового обсягу.

Довідник зі специфікації цілей Nmap прямо каже, що ім'я хоста розв'язується в адресу перед скануванням і що за кількох повернутих адрес інструмент сканує першу, якщо не запросити всі. Ніщо в цій поведінці не є специфічним для VPN. Розділений DNS, інший розв'язувач або балансувальник навантаження, що відповідає в новому порядку, дають той самий ефект без жодного тунелю.

Тримайте розв'язане значення поруч із виводом сканування, разом із родиною адрес, набором прапорців і часовою позначкою. Зворотний пошук, що повертає назву компанії, — ще одне спостереження, а не доказ того, який бекенд відповів.

Що змінений стан порту може і чого не може вам сказати

Коли пункт призначення закріплено, порт, що переходить із відкритого у фільтрований, зазвичай указує на шлях. Подумайте про ACL вище за ланцюгом, міжмережевий екран зі станом або провайдера, який поводиться з виходом тунелю інакше, ніж із домашнім виходом. Звузьте його, перевіривши другу схвалену адресу в тій самій підмережі, коли обсяг дозволяє, бо заміна імені хоста знову внесла б питання розв'язувача. Одна змінна на запуск — увесь метод.

Порт, який залишається відкритим, поки змінюється банер служби, — інша історія. Цей взірець пасує фронтенду, що розподіляє з'єднання між бекендами, і жодна кількість сканування з вашого боку не назве орендаря за ним.

Чого сканування ніколи не каже — це намір. Фільтрований порт є результатом політики, а не доказом того, що хтось вибрав ваш тунель, а відкритий порт не є доказом того, що застосунок за ним вас обслуговуватиме. Співвіднесіть із журналами компонента, яким ви керуєте, перш ніж писати будь-яку з двох історій.

Записуйте результати, щоб порівняння витримало перевірку

Корисний запис містить запитане ім'я, розв'язану адресу та її родину, точні прапорці, використовувану адресу джерела й авторизацію, що покривала пункт призначення. Додайте час, бо відповіді DNS обертаються, а звіт без часових позначок двічі запрошує ту саму суперечку. Додайте й версію сканера, бо типова поведінка зондування зсувається між випусками. Якщо два запуски використали різні методи, розглядайте їх як різні експерименти і скажіть це в заголовку, а не в примітці.

Позначайте знахідку тим, чим вона є: різні пункти призначення, різні шляхи джерела або різниця, досі не пояснена. Цей словник тримає звіт про сканування чесним і не дає відповіді розв'язувача знову бути опублікованою як подія перехоплення VPN. Наступний крок зазвичай — ще один запуск із закріпленою адресою, а не ширше сканування.