Parece que nadie ha hecho esta pregunta antes (la mayoría se refiere a los firewalls basados en host).
Cualquiera que esté familiarizado con las herramientas de escaneo de puertos (por ejemplo, nmap) sabe todo sobre el escaneo SYN, el escaneo FIN y similares para determinar puertos abiertos en una máquina host. Sin embargo, la pregunta es cómo se determinan los puertos abiertos en un firewall (sin tener en cuenta si el host al que intenta conectarse detrás del firewall tiene esos puertos en particular abiertos o cerrados). Esto supone que el firewall está bloqueando su conexión IP.
Ejemplo: Todos nos comunicamos con serverfault.com a través del puerto 80 (tráfico web). Un escaneo en un host revelaría que el puerto 80 está abierto. Si serverfault.com está detrás de un firewall y aún permite el paso de este tráfico, entonces podemos asumir que el firewall también tiene el puerto 80 abierto. Ahora supongamos que el firewall lo está bloqueando (por ejemplo, su dirección IP está en la lista de denegados o no está en la lista de permitidos). Usted sabe que el puerto 80 tiene que estar abierto (funciona para las direcciones IP apropiadas), pero cuando usted (la IP no permitida) intenta realizar cualquier escaneo, todos los intentos de escaneo de puertos en el firewall descartan el paquete (incluido el puerto 80, que sabemos que está abierto). ). Entonces, ¿cómo podríamos realizar un escaneo directo del firewall para revelar puertos abiertos/cerrados en el propio firewall, mientras seguimos usando la IP no permitida?
Respuesta1
No lo haces. No hay distinción, desde la perspectiva del filtrado de paquetes, entre lo que le muestra el host y lo que le muestra el firewall. Si escanea la dirección IP del firewall (suponiendo que tenga alguna dirección IP), es poco probable que utilice las mismas reglas que utiliza para el tráfico vinculado al host detrás de él.
Sin embargo, en algunas configuraciones, es posible que se le muestre accidentalmente lo que permite el firewall.
Tomemos el ejemplo de un host que responde al tráfico en puertos que no está escuchando con un rechazo (un RSTpaquete, que es el comportamiento normal de TCP) y un firewall que elimina el tráfico silenciosamente. Digamos que el host escucha solo 80, pero el firewall permite el ingreso de 80 y 25. El firewall deja pasar el tráfico del puerto 25, que el host rechaza, el puerto 80, al que se conecta el host, y bloquea todos los demás.
nmap mostraría que el host tiene el puerto 80 abierto, el puerto 25 cerrado y todos los demás puertos filtrados. nmap está diseñado para mostrar cuándo está presente este tipo de diferencia, para ayudarle a determinar el comportamiento del host que está viendo.
Respuesta2
Si utiliza un servicio web para realizar el escaneo de puertos, o ejecuta el escaneo de puertos con su dirección IP externa desde una ubicación externa, verá qué puertos están abiertos en el firewall.
Este es el primer servicio web que encontré haciendo una búsqueda en Google; probablemente otros también por ahí:http://www.hackerwatch.org/probe/
Respuesta3
Si es propietario del firewall y desea realizar pruebas funcionales en él, puede configurar un rastreador en un puerto distribuido del conmutador conectado a su interfaz DMZ antes de realizar el escaneo. De esa manera, puede detectar cualquier ocurrencia de paquetes que hayan pasado, incluso si el host de destino está inactivo o no responde en un puerto en particular. Le brinda más visibilidad de la que puede brindar la herramienta que realiza el escaneo.