NMAP scan에서 closed가 아닌 filtered로 표시되는 이유

FortiGate의 인터페이스에 대해 아래와 같이 설정된 경우 SSH는 허용하지 않지만, NMAP 스캔에서 "closed"가 아닌 "filtered" 표시된다.

 

# config system interface
    edit "port1"
        set vdom "root"
        set ip 192.168.175.230 255.255.255.0
        set allowaccess https http            <----- SSH 허용 안함
        set type physical
        set device-identification enable
        set role lan
        set snmp-index 10
    next
end

 

NMAP scan 결과

PORT         STATE      SERVICE
22/tcp      filtered    ssh
80/tcp       open         http
443/tcp      open    https

 

NMAP은 TCP SYN 보내서 돌아 오는 응답에 따라 다음과 같이 port의 open 여부를 판단한다.

open : SYS/ACK을 응답으로 받은 경우

closed : RST를 응답으로 받은 경우

filtered : 응답을 받지 못한경우

 

FortiGate의 경우 allowaccess에 허용되지 않을 경우, 해당 서비스의 SYN에 대해 응답을 하지 않기 때문에 filtered 로 표시된다.

FGT # diag sniff packet any 'host 192.168.175.202 and port 22' 4
interfaces=[any]
filters=[host 192.168.175.202 and port 22]
7.886505 port1 in 192.168.175.202.56080 -> 192.168.175.230.22: syn 332225684
8.886468 port1 in 192.168.175.202.56080 -> 192.168.175.230.22: syn 332225684
10.890375 port1 in 192.168.175.202.56080 -> 192.168.175.230.22: syn 332225684