اختر نقطة المراقبة الصحيحة لفحص VPN على الهاتف
مستمع VPN على الهاتف وخدمة على الهاتف ومضيف LAN موجَّه: هذه ثلاث سطوح. امشِ عبر هذه الخطوات الخمس وتوقف حيث يتوقف النطاق.
يفشل التقييم المصرَّح به لـ VPN مستضاف على هاتف بهدوء عندما يجلس الماسح على الجانب الخطأ من النفق. تحصل على نتائج تبدو معقولة، لكنها تجيب عن سؤال لم يطرحه أحد. امضِ عبر الفحوص الخمسة أدناه بالترتيب. لكل فحص شرط توقف، والتوقف مبكرًا أرخص من إعادة الاختبار من الصفر بعد كتابة التقرير.
الخطوة 1: سمِّ السطح الذي تنوي الوصول إليه
تُخلط ثلاثة سطوح عادةً لأن جهازًا واحدًا يربط بينها. وهي تشغّل تعليمات برمجية وسياسات مختلفة، فاكتب أيها داخل النطاق قبل بدء أي شيء.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
إذا لم يحدد النطاق المعتمد أيها من الثلاثة، توقف واسأل. عمل روت للهاتف لا يجيب عن هذا السؤال، وهو يغيّر الشيء موضوع الاختبار بدلًا من نقطة المراقبة.
سجّل الأهداف وعناوين المصادر المسموح بها والنافذة الزمنية وحد الكثافة في الوقت نفسه. النفق ينقلك إلى ذلك النطاق؛ ولا يمنحك ترخيصًا لفحص كل ما يستطيع توجيهه.
الخطوة 2: اختر المصدر الذي يستطيع رؤية ذلك السطح
الماسح الجالس داخل VPN لا يستطيع محاكاة مراقب إنترنت غير مصادَق. فهو يملك بالفعل مسارات وبيانات اعتماد وأذونات لا يملكها المراقب الخارجي، لذا تصف نتائجه الرؤية بعد القبول حتى عندما يكون سطح الهدف نفسه. والخطأ المعاكس شائع بالقدر ذاته. فحص عام لمنفذ VPN لا يقول شيئًا تقريبًا عن خدمة خاصة خلف تسجيل الدخول، وتقديمه كأنه يقول ذلك يبالغ في التعرّض في اتجاه وينقصه في الاتجاه الآخر.
توقف إذا كان المصدر الذي يمكنك الحصول عليه لا يطابق السطح. فلا ينبغي تقديم تقييم يُجرى من نظير داخل النفق كنتيجة قبل المصادقة، ولا ينبغي نقل اختبار يتطلب مصدرًا خارجيًا معتمدًا إلى الداخل بهدوء لتجنب الأعمال الورقية.
الخطوة 3: أكّد المسار ومسار الرد عبر الهاتف
عندما يعيد الجهاز التوجيه إلى شبكة فرعية أخرى، يحتاج الماسح إلى مسار مسموح ويحتاج الهدف إلى مسار عودة يعمل. أكّد الاثنين بدلًا من افتراض أن رد ping يعني أن المسار كامل.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8يغيّر NAT المصدر ما تراه الخدمة المتلقية. فإذا ترجم الهاتف عنوان الماسح، تنطبق قواعد الوصول والسجلات عند الهدف على العنوان المترجم، لذا قد تكون الخدمة التي تبدو مقبلة لك مقبلة للهاتف وليس للماسح.
انتبه أيضًا لأي تداخل مع شبكة الماسح نفسها. فإذا كان الهاتف يوجّه 192.168.1.0/24 وكان الماسح على شبكة LAN مرقّمة بالطريقة نفسها، تصيب الفحوص أجهزة محلية ويصفها التقرير كهدف. تحقق من المسار الذي سيستخدمه الماسح نفسه قبل إرسال حزمة واحدة.
افحص عنوان الهدف الحقيقي واحتفظ باسم المضيف الذي يحتاجه التطبيق لهوية TLS والاستضافة الافتراضية. الوصول إلى بوابة يثبت أن البوابة تجيب؛ لكنه لا يختبر الخدمة خلفها.
الخطوة 4: تعامل مع الاكتشاف كفحص بافتراضات
اكتشاف المضيفين هو المكان الذي تخطئ فيه نتائج التقييم أكثر من غيره. فالاكتشاف المحلي عبر Ethernet لا يعبر VPN موجّهًا، لذا لا تصل ببساطة الفحوص التي تعمل على LAN مسطح. وعندها تجعل فحوص الاكتشاف المحجوبة خدمة يمكن الوصول إليها ومصرحًا بها تبدو غائبة.
قرّر بوعي ما إذا كنت ستتخطى الاكتشاف وتفحص العناوين المعروفة مباشرة، ثم قل ذلك في التقرير. المنفذ الذي يجيب ليس دليلًا على نجاح مصادقة VPN، والرد المفلتر ليس دليلًا على أن شيئًا لا يستمع. المعدل جزء من المشكلة نفسها. فالهاتف الذي يخنق أو يُسقط تحت فحص سريع ينتج حالات مفلترة تخص الهاتف لا الخدمة، لذا قلّل التزامن وأعد الفحص قبل تسجيل منفذ باعتباره مغلقًا.
شرط التوقف هنا هو التفسير لا التقنية: إذا كنت لا تستطيع بيان ما تعنيه حالة معينة لهذا المسار، فتنتمي النتيجة إلى ملحق لا إلى النتائج.
الخطوة 5: احتفظ بالنافذة، ثم أغلقها
الهاتف خادم سيئ لأنه مصمم للنوم. فتحسين البطارية ووضع الخمول وإدارة طاقة Wi-Fi قد توقف التطبيق في منتصف التقييم، وإعادة اتصال النفق قد تغيّر العنوان الذي يستخدمه الهدف. والتشغيل الذي يمتد عبر أحد تلك الأحداث تكون نافذة نتائجه غير صالحة.
أبقِ دور البوابة في أصغر نطاق تسمح به المهمة المعتمدة، وراقب النفق أثناء التشغيل، وسجّل بداية ونهاية كل نافذة تبلغ عنها. وعندما ينتهي التقييم، أزل الوصول المؤقت عبر مالكه، واحتفظ بسجل المصدر والمسار، واحمِ المخرجات مثل أي أثر اختبار آخر.
إذا كنت بحاجة إلى نقطة مراقبة قابلة للتكرار بدلًا من نجاح لمرة واحدة، فهذا هو المُخرَج الذي يجب الدفاع عنه. مرجع اكتشاف المضيفين يشرح أي الفحوص تفترض قطاعًا محليًا، وهي التفصيلة التي تحوّل نتيجة فارغة إلى عبارة يمكن الدفاع عنها.