Introducción
River Festival necesita revisar el acceso antes de abrir su red. Visitantes y personal deben poder leer el programa público; el registro de llegada y los suministros son exclusivos del personal. Observarás el mismo servidor desde ambas posiciones de red y entregarás una revisión precisa que incluya accesos inesperados y servicios necesarios inaccesibles.
Guest Scanner y Staff Scanner son terminales persistentes en espacios de nombres de red distintos de una sola VM de formación. Tienen rutas y direcciones de origen diferentes, pero comparten archivos; no son VM independientes. El entorno está preparado y todos los datos son sintéticos. Solo se autoriza escanear el servidor 10.77.3.2 y sus puertos TCP 8311,8322,8333. Conserva clientes, rutas, reglas de filtrado, servicios, datos y observadores de paquetes. La tarea es únicamente de observación: una revisión correcta puede indicar que la red aún no está lista para abrirse.
Basta con saber introducir comandos básicos y reconocer rutas. Se explican las opciones de Nmap, HTTP y la sintaxis de shell necesarias; se recomienda preparar Finding the Live Workshop Service. No se requiere administrar cortafuegos ni programar.
Establecer un control operativo desde ambos orígenes
Primero verás el funcionamiento público normal desde cada red antes de juzgar el acceso restringido. Usa las pestañas indicadas del laboratorio, no una shell del servidor o de administración. Abrir una pestaña de escáner entra en su red preparada sin reconstruirla. Cada terminal tiene su propio directorio y estado de shell; sus archivos están en la misma VM.
Guest Scanner
Selecciona Guest Scanner. cd cambia el directorio de trabajo de esta shell; las rutas relativas posteriores parten de él:
cd /home/labex/project/nmap-access/guest
cat muestra un archivo de texto. .. indica el directorio padre, por lo que esta ruta lee el acuerdo compartido situado encima del directorio del rol:
cat ../plan.csv
CSV significa valores separados por comas: una cabecera nombra las columnas y cada fila posterior representa una relación. Las seis filas asocian guest o staff con un servicio y un puerto TCP. allow exige una conexión operativa; block exige que ese origen no pueda conectarse. El programa público en 8311 está permitido desde ambos orígenes. El registro en 8322 y los suministros en 8333 son exclusivos del personal.
HTTP es el protocolo de petición/respuesta de estos servicios. curl obtiene una URL. Las opciones combinadas -fsS fallan ante errores HTTP, ocultan el indicador de progreso y siguen mostrando errores; -o guarda la respuesta en el nombre de archivo siguiente. La dirección elige el destino, el puerto tras los dos puntos elige el punto de escucha y /manifest.csv selecciona el recurso:
curl -fsS -o public.csv http://10.77.3.2:8311/manifest.csv
cat public.csv
Espera la cabecera y dos registros schedule/RIVER-FEST: P01/Doors at 10 y P02/Talk at 11. Es una respuesta real desde la posición de visitantes, cuya dirección de origen es 10.77.1.2.
Staff Scanner
Cambia a Staff Scanner. Su origen es 10.77.2.2 y su directorio de rol es independiente:
cd /home/labex/project/nmap-access/staff
curl -fsS -o public.csv http://10.77.3.2:8311/manifest.csv
cat public.csv
Debes obtener los mismos dos registros públicos completos. Un control público operativo a ambos lados evita confundir un escáner desconectado con un bloqueo correcto. Los dos archivos public.csv están en directorios de rol distintos. Si escribes mal un nombre de archivo, lee el error, usa pwd para ver el directorio de esta terminal y repite el cd indicado para su rol antes de reintentar. No repares rutas ni reinicies servicios.
Escanear los mismos servicios desde cada red
Recogerás observaciones completas desde ambos orígenes. El estado de un puerto describe lo observado por ese escáner, no una propiedad intrínseca del servidor. open significa que aceptó una conexión TCP. closed indica que el escaneo recibió un rechazo, ya sea por falta de un servicio a la escucha o por un filtro que rechaza. filtered significa que Nmap no pudo determinar si el puerto estaba abierto porque se bloquearon las sondas o sus respuestas. No deduzcas una causa concreta solo del estado.
Nmap examina servicios de red. -sT selecciona el escaneo TCP connect, que aquí no necesita privilegios para paquetes sin procesar. -Pn omite la decisión preliminar de descubrimiento del host y examina los puertos indicados aunque otras sondas no reciban respuesta; no demuestra por sí solo que el host esté activo. -n omite la resolución inversa de nombres. --reason muestra la base de la respuesta, -p elige el conjunto completo de puertos autorizados y -oX guarda XML estructurado además de la salida normal en pantalla. El conjunto predeterminado de puertos habituales no sustituye este acuerdo.
El motor de scripts de Nmap, NSE, puede enviar una petición de aplicación seleccionada. --script elige un script y --script-args proporciona sus opciones con nombre. http-title obtiene un título HTML; http-title.url=/about selecciona el recurso descriptivo. Los tres candidatos están declarados como servicios HTTP. El + inicial ejecuta expresamente solo este script aunque el puerto no se reconozca, dentro de este ámbito HTTP conocido. No es una indicación general para forzar scripts arbitrarios en servicios ajenos. No se exige texto de versión de producto.
Guest Scanner
Cambia a Guest Scanner, aún en /home/labex/project/nmap-access/guest. Primero lee la ayuda del script con --script-help:
nmap --script-help http-title
nmap -sT -Pn -n --reason --script=+http-title --script-args=http-title.url=/about -p 8311,8322,8333 -oX scan.xml 10.77.3.2
Espera a Nmap done. Se esperan 8311 y 8322 abiertos, con los títulos reales del programa público y del registro del personal. 8333 debe aparecer filtered. Los visitantes alcanzan un servicio exclusivo del personal: el éxito del control público no equivalía a una revisión completa del acceso.
Staff Scanner
Cambia a Staff Scanner, aún en /home/labex/project/nmap-access/staff. Ejecuta la misma inspección delimitada desde esta posición de red:
nmap -sT -Pn -n --reason --script=+http-title --script-args=http-title.url=/about -p 8311,8322,8333 -oX scan.xml 10.77.3.2
Se esperan 8311 y 8322 abiertos y 8333 cerrado. Por tanto, el personal no puede conectarse a un servicio necesario. Las respuestas de título identifican candidatos HTTP que responden; el nombre convencional de SERVICE no demuestra por sí solo qué aplicación es.
Son dos escaneos reales, no un resultado renombrado para dos orígenes. Los archivos scan.xml de cada rol y el tráfico de origen existente sustentan la revisión. Si usaste una pestaña, un destino o puertos incorrectos, repite el escaneo completo corregido desde el escáner adecuado. Si se interrumpió, espera a que termine una nueva ejecución completa. Renombrar texto como XML o copiar el archivo del otro rol no crea observaciones del origen que falta.
Entregar la revisión de acceso y conservar el escenario
Convertirás las seis relaciones observadas en una revisión de entrega precisa. Empieza en Staff Scanner, en /home/labex/project/nmap-access/staff. Mantén intacto el escenario original; la revisión puede estar completa aunque el acceso necesite una reparación posterior.
En una fila allow, open cumple el acuerdo; closed o filtered significa unavailable. En una fila block, un puerto abierto es unexpected-open; cerrado o filtrado cumple la restricción de conexión observada. La conclusión se limita al origen, destino, protocolo, puertos y momento indicados. No garantiza todas las rutas de red ni la causa exacta del rechazo.
Las columnas son source,service,port,expected,observed,verdict. Vincula cada origen y servicio con sus propias pruebas. Registra el estado real, sin convertir todos los resultados no abiertos en una misma palabra. El acuerdo requiere suministros para el personal aunque su estado actual sea closed: es un hallazgo, no un bloqueo correcto.
Un here-document entre comillas pasa las líneas literales siguientes a cat. > reemplaza únicamente el informe indicado; el CSV final debe estar solo en su línea. ../access-review.csv sitúa la revisión compartida en el directorio padre:
Staff Scanner
cat > ../access-review.csv <<'CSV'
source,service,port,expected,observed,verdict
guest,schedule,8311,allow,open,meets
guest,checkin,8322,block,open,unexpected-open
guest,supplies,8333,block,filtered,meets
staff,schedule,8311,allow,open,meets
staff,checkin,8322,allow,open,meets
staff,supplies,8333,allow,closed,unavailable
CSV
cat ../access-review.csv
Pospón la apertura de la red: los visitantes alcanzan inesperadamente el registro y los suministros del personal no están disponibles. No elimines una exposición ni cambies un filtro para facilitar el informe; esta tarea entrega hallazgos al responsable. El mismo estado puede tener implicaciones distintas según la relación allow/block.
Guest Scanner
Cambia a Guest Scanner y vuelve a usar el control público sin cambios:
curl -fsS -o public.csv http://10.77.3.2:8311/manifest.csv
Staff Scanner
Regresa a Staff Scanner y haz lo mismo:
curl -fsS -o public.csv http://10.77.3.2:8311/manifest.csv
Ambos deben seguir ofreciendo los dos registros públicos originales. Los servicios privados y la configuración de red original también deben conservarse para investigar. Si escribiste mal la URL, corrige la conocida y reintenta desde el mismo rol, sin copiar la descarga del otro lado.
Resumen
Estableciste el funcionamiento normal desde ambos orígenes, recogiste observaciones Nmap independientes y revisaste cada relación de acceso. Un acceso inesperado y un servicio necesario inaccesible son hallazgos distintos. La revisión completa conserva el escenario original y limita sus conclusiones a los orígenes y el ámbito realmente observados.
