Kies die regte waarnemingspunt vir 'n VPN-skandering op 'n selfoon
'n Selfoon se VPN-luisterpunt, 'n diens op die selfoon en 'n deurgestuurde LAN-gasheer is drie oppervlakke. Volg hierdie vyf stappe en stop waar die omvang stop.
'n Gemagtigde assessering van 'n VPN wat op 'n selfoon gehuisves word, misluk stilweg wanneer die skandeerder aan die verkeerde kant van die tonnel sit. Jy kry resultate, dit lyk geloofwaardig, en dit antwoord 'n vraag wat niemand gevra het nie. Werk deur die vyf kontroles hieronder in volgorde. Elkeen het 'n stopvoorwaarde, en om vroeg te stop is goedkoper as om van vooraf te toets nadat die verslag geskryf is.
Stap 1: benoem die oppervlak wat jy wil bereik
Drie oppervlakke word gereeld verwar omdat een toestel hulle verbind. Hulle gebruik verskillende kode en verskillende beleid, so skryf neer watter een binne die omvang is voordat enigiets begin word.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
As die goedgekeurde omvang nie sê watter van die drie nie, stop en vra. Om die selfoon te root antwoord nie hierdie vraag nie, en dit verander die ding wat getoets word eerder as die waarnemingspunt.
Teken die teikens, die toegelate bronadresse, die tydvenster en die intensiteitsperk op dieselfde tyd aan. Die tonnel dra jou na daardie omvang; dit gee nie lisensie om alles te ondersoek wat dit kan roeteer nie.
Stap 2: kies die bron wat daardie oppervlak kan sien
'n Skandeerder binne die VPN kan nie 'n ongeverifieerde internetwaarnemer weerspieël nie. Dit het reeds roetes, geloofsbriewe en toestemmings wat die buitenste waarnemer nie het nie, so sy resultate beskryf die sig na toelating, selfs wanneer die teikenoppervlak dieselfde is. Die omgekeerde fout is net so algemeen. 'n Openbare skandering van die VPN-poort sê byna niks oor 'n private diens agter die aanmelding nie, en om dit te rapporteer asof dit wel so is, oordryf die blootstelling in die een rigting en onderskat dit in die ander.
Stop as die bron wat jy kan kry nie by die oppervlak pas nie. 'n Assessering wat vanaf 'n eweknie binne die tonnel geloop word, moet nie as 'n voor-verifikasie-resultaat aangebied word nie, en 'n toets wat 'n goedgekeurde eksterne bron vereis, moet nie stilweg na binne geskuif word om die papierwerk te vermy nie.
Stap 3: bevestig die roete en die antwoordpad deur die selfoon
Wanneer die selfoon na 'n ander subnet deurstuur, het die skandeerder 'n toegelate roete nodig en die teiken het 'n antwoordpad nodig wat werk. Bevestig albei eerder as om aan te neem dat 'n ping-antwoord beteken die pad is volledig.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Bron-NAT verander wat die stroomaf diens sien. As die selfoon die skandeerder se adres vertaal, geld die toegangsreëls en logs by die teiken vir die vertaalde adres, so 'n diens wat dit lyk of dit jou aanvaar, aanvaar miskien die selfoon eerder as die skandeerder.
Let ook op 'n oorvleueling met die skandeerder se eie netwerk. As die selfoon 192.168.1.0/24 roeteer en die skandeerder sit op 'n LAN met dieselfde nommering, tref ondersoeke plaaslike toestelle en die verslag beskryf hulle as die teiken. Kontroleer die roete wat die skandeerder self sou gebruik voordat 'n enkele pakket gestuur word.
Skandeer die werklike teikenadres en behou die gasheernaam wat die toepassing nodig het vir TLS-identiteit en virtuele gasheerskap. Om 'n gateway te bereik bewys die gateway antwoord; dit toets nie die diens agter dit nie.
Stap 4: hanteer ontdekking as 'n ondersoek met aannames
Gasheerontdekking is waar assesseringsresultate die meeste verkeerd loop. Plaaslike Ethernet-ontdekking kruis nie 'n gerouteerde VPN nie, so die ondersoeke wat op 'n plat LAN werk, kom eenvoudig nie aan nie. Geblokkeerde ontdekkingsondersoeke laat dan 'n bereikbare, gemagtigde diens as afwesig lyk.
Besluit doelbewus of jy ontdekking moet oorslaan en die bekende adresse direk moet skandeer, en sê dan so in die verslag. 'n Poort wat antwoord is nie bewys dat VPN-verifikasie geslaag het nie, en 'n gefiltreerde antwoord is nie bewys dat niks luister nie. Tempo is deel van dieselfde probleem. 'n Selfoon wat tydens 'n vinnige skandering smoor of wegval, lewer gefiltreerde toestande wat aan die selfoon behoort eerder as aan die diens, so verminder gelyktydigheid en skandeer weer voordat 'n poort as gesluit aangeteken word.
Die stopvoorwaarde hier is interpretasie, nie tegniek nie: as jy nie kan sê wat 'n toestand vir hierdie pad beteken nie, hoort die resultaat in 'n bylaag eerder as in die bevindinge.
Stap 5: hou die venster en sluit dit dan
'n Selfoon is 'n swak bediener omdat dit ontwerp is om te slaap. Batterij-optimering, doze en Wi-Fi-kragbestuur kan die app midde-in die assessering opskort, en 'n tonnel-herverbinding kan die adres verander wat die teiken gebruik. 'n Lopie wat een van daardie gebeurtenisse oorspan, het 'n ongeldige resultaatvenster.
Hou die gateway-rol by die kleinste omvang wat die goedgekeurde taak toelaat, hou die tonnel dop terwyl die lopie lewendig is, en teken die begin en einde van elke venster aan wat jy rapporteer. Wanneer die assessering eindig, verwyder die tydelike toegang deur die eienaar daarvan, hou die bron- en roete-rekord, en beskerm die uitset soos enige ander toetsartefak.
As jy 'n herhaalbare waarnemingspunt nodig het eerder as 'n eenmalige sukses, is dit die lewering waarvoor jy moet argumenteer. Die verwysing oor gasheerontdekking verduidelik watter ondersoeke 'n plaaslike segment veronderstel, wat die detail is wat 'n leë resultaat in 'n verdedigbare stelling verander.