Pourquoi certains ports signalés par nmap sont-ils filtrés et pas les autres?

Je l' analyse d' un serveur qui devrait avoir un pare - feu assez simple en utilisant iptables : par défaut tout est en plus laissiez tomber RELATEDet ESTABLISHEDpaquets. Les seuls types de NEWpaquets autorisés sont les paquets TCP sur les ports 22 et 80 et le tour est joué (pas de protocole HTTPS sur ce serveur).

Le résultat de nmap sur les 2048 premiers ports donne 22 et 80 aussi ouverts, comme je l’attendais. Cependant, quelques ports apparaissent comme "filtrés".

Ma question est la suivante: pourquoi les ports 21, 25 et 1863 apparaissent-ils comme "filtrés" et les 2043 autres ports n'apparaissent pas comme filtrés?

Je m'attendais à voir seulement 22 et 80 comme "ouvert".

S'il est normal de voir "filtré" 21,25 et 1863, pourquoi tous les autres ports n'apparaissent-ils pas aussi "filtrés"?

Voici la sortie de nmap :

# nmap -PN 94.xx.yy.zz -p1-2048

Starting Nmap 6.00 ( http://nmap.org ) at 2014-06-12 ...
Nmap scan report for ksXXXXXX.kimsufi.com (94.xx.yy.zz)
Host is up (0.0023s latency).
Not shown: 2043 closed ports
PORT     STATE    SERVICE
21/tcp   filtered ftp
22/tcp   open     ssh
25/tcp   filtered smtp
80/tcp   open     http
1863/tcp filtered msnp

Je ne comprends vraiment pas pourquoi j'ai 2043 ports fermés:

Not shown: 2043 closed ports

et pas 2046 ports fermés.

Voici un lsof lancé sur le serveur:

# lsof -i -n
COMMAND   PID USER   FD   TYPE   DEVICE SIZE NODE NAME
named    3789 bind   20u  IPv4     7802       TCP 127.0.0.1:domain (LISTEN)
named    3789 bind   21u  IPv4     7803       TCP 127.0.0.1:953 (LISTEN)
named    3789 bind  512u  IPv4     7801       UDP 127.0.0.1:domain 
sshd     3804 root    3u  IPv4     7830       TCP *:ssh (LISTEN)
sshd     5408 root    3r  IPv4 96926113       TCP 94.xx.yy.zz:ssh->aa.bb.cc.dd:37516 (ESTABLISHED)
sshd     5411    b    3u  IPv4 96926113       TCP 94.xx.yy.zz:ssh->aa.bb.cc.dd:37516 (ESTABLISHED)
java    16589    t   42u  IPv4 88842753       TCP *:http-alt (LISTEN)
java    16589    t   50u  IPv4 88842759       TCP *:8009 (LISTEN)
java    16589    t   51u  IPv4 88842762       TCP 127.0.0.1:8005 (LISTEN)

(notez que Java / Tomcat écoute sur le port 8009, mais ce port est ignoré par le pare-feu)

La déclaration 'port filtré' de nmap diffère selon votre méthode de scan.

L'analyse standard (analyse TCP si utilisateur non privilégié ou analyse à demi-ouverte -sS si superutilisateur) repose sur le protocole TCP. (nommé hanshake à 3 voies)

• Un client (vous) émet un SYN, si le serveur répond SYN / ACK: cela signifie que le port est ouvert !

• Vous émettez un SYN, si le serveur répond RST: cela signifie que le port est proche !

• Vous émettez un SYN, si le serveur ne répond pas, ou répond avec une erreur ICMP: cela signifie que le port est filtré . Probablement un pare-feu IDS / statefull bloquera votre demande)

Pour savoir quel est le statut réel du port, vous pouvez:

• utilisez l' option -sV , ou -A (détection de version, cela vous aidera à déterminer l'état de ce port.
• utilisez --tcp-flags SYN, FIN pour essayer de contourner le fw.
• utiliser d'autres types d'analyse ( http://nmap.org/book/man-port-scanning-techniques.html )

L'excellent livre " Nmap Network Discovery ", écrit par son créateur Fyodor, l'explique très bien. Je cite

filtré: Nmap ne peut pas déterminer si le port est ouvert car le filtrage de paquets empêche ses sondes d'atteindre le port. Le filtrage peut provenir d'un dispositif de pare-feu dédié, de règles de routeur ou d'un logiciel de pare-feu basé sur l'hôte. Ces ports frustrent les attaquants car ils fournissent très peu d'informations. Parfois, ils répondent avec des messages d'erreur ICMP tels que le code de type 3 13 (destination inaccessible: communication interdite par l'administration), mais les filtres qui abandonnent simplement des sondes sans répondre sont beaucoup plus courants. Cela oblige Nmap à réessayer plusieurs fois au cas où la sonde serait abandonnée à cause de la congestion du réseau plutôt que du filtrage. Ce type de filtrage ralentit considérablement les analyses.

open | filter: Nmap place les ports dans cet état lorsqu'il est impossible de déterminer si un port est ouvert ou filtré. Cela se produit pour les types d'analyse dans lesquels les ports ouverts ne donnent aucune réponse. L'absence de réponse peut également signifier qu'un filtre de paquets a abandonné la sonde ou toute réponse qu'il a provoquée. Donc, Nmap ne sait pas avec certitude si le port est ouvert ou en cours de filtrage. Les analyses UDP, protocole IP, FIN, NULL et Xmas classifient les ports de cette manière.

fermé | filtré: Cet état est utilisé lorsque Nmap est incapable de déterminer si un port est fermé ou filtré. Il n’est utilisé que pour l’analyse d’identité IP ID décrite à la Section 5.10, "Analyse inactive TCP (-sl)

pourquoi les ports 21, 25 et 1863 apparaissent-ils comme "filtrés" et les 2043 autres ports n'apparaissent pas comme filtrés?

Parce que chez votre FAI, votre routeur, votre administrateur réseau, quoi que ce soit entre eux ou vous-même, vous les filtrez. L’histoire de ces ports est assez mauvaise, le 1863 étant le port utilisé par le protocole de messagerie instantanée de Microsoft (alias MSN et ses amis), ce qui, j’estime que vous puissiez (ou non) avoir défini une règle spécifique. Le SMTP semble être la faute de votre FAI, et FTP me laisse totalement sidéré, car je ne sais absolument pas ce qui pourrait leur arriver.

Par défaut, Nmap analyse uniquement les 1 000 ports les plus courants pour chaque protocole (tcp, udp). Si votre port est en dehors de cela, il ne le scannera pas et ne le signalera donc pas. Cependant, vous pouvez spécifier les ports que vous souhaitez analyser avec l'option -p.