Выберыце правільны пункт назірання для сканавання VPN на тэлефоне
Слухач VPN на тэлефоне, сэрвіс на тэлефоне і маршрутызаваны хост LAN — гэта тры паверхні. Прайдзіце гэтыя пяць крокаў і спыніцеся там, дзе скончваецца абсяг.
Санкцыянаваная ацэнка VPN, які працуе на тэлефоне, ціха правальваецца, калі сканер знаходзіцца не з таго боку тунеля. Вы атрымліваеце вынікі, яны выглядаюць праўдападобна і адказваюць на пытанне, якога ніхто не задаваў. Прайдзіце пяць праверак ніжэй па парадку. Кожная мае ўмову спынення, і спыніцца раней танней, чым ператэстоўваць з нуля пасля напісання справаздачы.
Крок 1: назавіце паверхню, якую вы маеце намер дасягнуць
Тры паверхні часта блытаюць, бо адзін прыбор іх злучае. Яны задзейнічаюць розны код і розную палітыку, таму запішыце, якая з іх у абсягу, перш чым нешта пачынаць.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
Калі ўзгоднены абсяг не паказвае, якая з трох, спыніцеся і спытайце. Атрыманне root на тэлефоне не адказвае на гэтае пытанне і змяняе тое, што тэстуецца, а не пункт назірання.
Запішыце мэты, дазволеныя адрасы крыніц, часавае акно і мяжу інтэнсіўнасці адначасова. Тунель дастаўляе вас у гэты абсяг; ён не дае права правяраць усё, што можа маршрутызаваць.
Крок 2: выберыце крыніцу, якая бачыць гэтую паверхню
Сканер, які знаходзіцца ўнутры VPN не можа ўзнавіць неаўтэнтыфікаванага назіральніка з інтэрнэту. Ён ужо мае маршруты, уліковыя даныя і дазволы, якіх няма ў знешняга назіральніка, таму яго вынікі апісваюць від пасля допуску, нават калі мэтавая паверхня тая ж. Зваротная памылка таксама вельмі распаўсюджаная. Публічнае сканаванне порта VPN амаль нічога не кажа пра прыватны сэрвіс за ўваходам, і падаваць яго так, быццам гэта так, перабольшвае экспазіцыю ў адзін бок і прымяншае яе ў іншы.
Спыніцеся, калі крыніца, якую вы можаце атрымаць, не адпавядае паверхні. Ацэнку, якая выконваецца з вузла ўнутры тунеля, нельга падаваць як вынік да аўтэнтыфікацыі, а тэст, які патрабуе ўзгодненай знешняй крыніцы, нельга ціха пераносіць унутры, каб пазбегнуць папяровай працы.
Крок 3: пацвердзіце маршрут і шлях адказу праз тэлефон
Калі апарат перасылае ў іншую падсетку, сканеру патрэбен дазволены маршрут, а мэце — працоўны шлях адказу. Пацвердзіце абодва замест таго, каб меркаваць, што адказ ping азначае поўны шлях.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Source NAT змяняе тое, што бачыць ніжэйшы сэрвіс. Калі тэлефон перакладае адрас сканера, правілы доступу і журналы на мэце ўжываюцца да перакладзенага адраса, таму сэрвіс, які нібыта прымае вас, можа прымаць тэлефон, а не сканер.
Сачыце таксама за перасячэннем з уласнай сеткай сканера. Калі тэлефон маршрутызуе 192.168.1.0/24, а сканер знаходзіцца ў LAN з такой жа нумарацыяй, спробы трапляюць у лакальныя прылады, і справаздача апісвае іх як мэту. Праверце маршрут, які выкарыстаў бы сам сканер, перш чым адправіць хоць адзін пакет.
Скануйце сапраўдны адрас мэты і захоўвайце імя хоста, якое патрабуе праграма для ідэнтычнасці TLS і віртуальнага хостынгу. Дасягненне шлюза даказвае, што шлюз адказвае; яно не тэстуе сэрвіс за ім.
Крок 4: стаўцеся да выяўлення як да спробы з дапушчэннямі
Выяўленне хастоў — гэта месца, дзе вынікі ацэнкі часцей за ўсё ідуць не так. Лакальнае выяўленне праз Ethernet не перасякае маршрутызаваны VPN, таму спробы, якія працуюць у плоскай LAN, проста не даходзяць. Заблакаваныя спробы выяўлення тады робяць даступны, узгоднены сэрвіс падобным да адсутнага.
Свядома вырашыце, ці прапускаць выяўленне і сканаваць вядомыя адрасы напрамую, і скажыце пра гэта ў справаздачы. Порт, які адказвае, не доказ таго, што аўтэнтыфікацыя VPN прайшла, а адфільтраваны адказ не доказ таго, што нішто не слухае. Тэмп — частка той жа праблемы. Тэлефон, які стрымлівае або скідвае пад хуткім сканаваннем, стварае адфільтраваныя станы, якія належаць тэлефону, а не сэрвісу, таму зменшыце паралельнасць і перасканайце, перш чым запісаць порт як закрыты.
Умова спынення тут — інтэрпрэтацыя, а не тэхніка: калі вы не можаце сказаць, што стан азначае для гэтага шляху, вынік належыць у дадатак, а не ў высновы.
Крок 5: утрымайце акно, потым зачыніце яго
Тэлефон — дрэнны сервер, бо ён створаны, каб спаць. Аптымізацыя батарэі, doze і кіраванне энергіяй Wi-Fi могуць прыпыніць праграму пасярэдзіне ацэнкі, а перападключэнне тунеля можа змяніць адрас, які выкарыстоўвае мэта. Прагон, які ахоплівае адну з такіх падзей, мае несапраўднае акно вынікаў.
Трымайце ролю шлюза ў самым вузкім абсягу, які дазваляе ўзгодненае заданне, назірайце за тунелем, пакуль прагон ідзе, і запісвайце пачатак і канец кожнага акна, пра якое вы паведамляеце. Калі ацэнка скончыцца, выдаліце часовы доступ праз яго ўладальніка, захавайце запіс крыніцы і шляху і абараніце вынікі, як любы іншы артэфакт тэставання.
Калі вам патрэбен пункт назірання, які можна паўтарыць, а не аднаразовы поспех, гэта і ёсць вынік, за які варта аргументаваць. даведка пра выяўленне хастоў тлумачыць, якія спробы мяркуюць лакальны сегмент, і менавіта гэтая дэталь ператварае пусты вынік у абараняльнае сцвярджэнне.