Nessus oor VPN: waar om die skandeerder te plaas voor die eerste skandering

’n VPN-ikoon langs die blaaier sê niks oor die proses wat die skanderingspakkette stuur nie. As die konsole en die skandeerder op verskillende hosts loop, is die blaaier se tonnel een pad en die skandering se bron ’n ander. Begin by die uitvoerpunt en werk dan na buite: die roete, die magtiging en die geloofsbriewe. Daardie onderskeid staan nie verniet eerste op die lys nie.

Dit is ’n kontrolelys voor bekendstelling, nie ’n skanderingshandleiding nie. Elke stap lewer ’n feit wat jy in die werkrekord kan skryf voordat enige pakkie die skandeerder verlaat.

Eerste kontrole: vind die proses wat die peilings stuur

Teken die drie rolle duidelik: die blaaier op skootrekenaar A, die skanderingskonsole op gasheer B en die private teiken C. As B ook die skanderingsenjin loop, het die blaaier net ’n pad na B nodig. As ’n aparte skanderingstoestel die werk doen, het daardie toestel die pad na C nodig.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

’n Blaaier wat aan die VPN gekoppel is, kan die konsole bereik terwyl die skandeerder daar agter nog geen roete na C het nie. Die omgekeerde is ook moontlik: die skandeerder is binne die private netwerk en die konsole is op afstand. Vind uit watter reëling jy werklik loop voordat jy enige netwerkbeheer verander. Noem die toestel in die skanderingskonfigurasie voordat jy die netwerk blameer.

As die skandeerder op A loop, deel die blaaiergasheer en die skandeerder ’n konteks, maar net solank daardie proses dieselfde naamruimte en dieselfde roetetabel behou. ’n Houer of ’n diensrekening erf dalk nie wat die interaktiewe blaaier sien nie. Die konsole is ’n bestuursoppervlak, nie die skanderingsenjin nie.

Tweede kontrole: bewys die skandeerder se roete en DNS

Voer die roetekontrole op die skandeerdergasheer uit, nie op die skootrekenaar nie. Vra die kern watter koppelvlak en watter poort dit vir die teikenadres sou gebruik, en herhaal dit vir die teiken se gasheernaam. ’n Roete wat vir die IP bestaan en ’n naam wat na ’n ander adres oplos, is twee verskillende foute.

Bevestig die bronadres wat by die teiken sal verskyn. ’n VPN-kliënt kan ’n ander adres toeken as dié wat die teiken se vuurmuur verwag, en ’n NAT-toestel kan dit weer herskryf. Die teiken se eienaar het die waargeneemde bron nodig, nie die adres wat in die VPN-profiel gedruk is nie.

Kontroleer ook die terugpad. ’n Skandeerder wat die teiken bereik maar geen antwoorde ontvang nie, het ’n roete- of vuurmuurprobleem op die terugpad, en dit lyk presies soos ’n teiken wat af is.

Derde kontrole: kry magtiging vir die omvang en die oogpunt

Laat die teiken se eienaar die stelsels, dienste, omgewing, bron en tydvenster skriftelik noem. Besluit watter oogpunt die assessering verteenwoordig: ’n eksterne VPN-gebruiker, ’n toegelate interne kliënt of ’n spesifieke skandeerdersegment.

’n Private roete is nie toestemming om aangrensende netwerke te toets nie. Hou die teikenlys nou, lys uitgeslote stelsels en kom ooreen oor stopvoorwaardes en ’n kontakpersoon wat die lopie kan stop. Die skandeerder sal graag alles ondersoek wat hy kan bereik, en juis daarom moet die omvang eksplisiet wees.

Teken die goedgekeurde bron in dieselfde dokument aan. As die skandeerder se waargeneemde bron van die goedgekeurde een verskil, verteenwoordig die lopie nie die ooreengekome oogpunt nie, selfs wanneer die teikenlys korrek is.

Vierde kontrole: pas die geloofsbriewe by die diepte van die assessering aan

’n Bereikbaarheidskontrole en ’n geoutentiseerde assessering is verskillende toetse. ’n Poortantwoord bewys dat iets geantwoord het; dit bewys nie dat kontroles met geloofsbriewe geloop het of dat die toepassing die rekening gemagtig het nie.

Gebruik toegewyde geloofsbriewe net wanneer die ooreengekome omvang geoutentiseerde kontroles vereis. Bevestig die rekening se toestemmings en sluitingsbeleid, en besluit hoe bevindings gestoor en gedeel sal word voordat die skandering hulle produseer.

As die geloofsbriewe misluk, moenie stilweg na ’n ongeoutentiseerde lopie terugval en die verslag as die beplande assessering bestempel nie. Die resultaat is ’n ander toets met ’n ander betekenis, en daardie verskil hoort in die verslag.

Vyfde kontrole: stoor die plan en begin dan doelbewus

In die Nessus-skanderingswerkvloei is die keuse van ’n sjabloon, die opstel van instellings en die stoor of begin van die skandering aparte stappe. Gebruik daardie skeiding om die teikenlys, die bron en die skedule te hersien voordat enige verkeer begin.

Voordat jy die bekendstelling magtig, kontroleer watter bron die VPN toelaat, watter verkeer dit dra en hoe dit herstel ná ’n onderbroke tonnel. Moenie die vuurmuur se toegang verbreed net omdat ’n voorbereidende verbinding misluk het nie; vind die laag wat dit geweier het en herstel daardie laag.

Ná die lopie, teken die skandeerdergasheer, sy waargeneemde bron, die teikenlys en enige kontroles wat nie kon voltooi nie aan. ’n Verslag wat van ’n ander bron of sonder die beoogde geloofsbriewe gemaak is, verteenwoordig nie die oorspronklike plan nie, en om dit te sê is deel van die lewering.

Trek die werksmagtiging terug en hanteer bewaarde resultate volgens die ooreengekome proses. Die kontrolelys is eers klaar wanneer die bewyse ooreenstem met die pad wat jy goedgekeur het, nie wanneer die skandering bloot resultate teruggegee het nie.