Odaberite pravu tačku posmatranja za VPN skeniranje na telefonu
VPN slušalac na telefonu, servis na telefonu i rutirani LAN host tri su površine. Prođite kroz ovih pet koraka i zaustavite se gdje se obim zaustavlja.
Ovlaštena procjena VPN-a koji se hostuje na telefonu tiho propada kada skener stoji na pogrešnoj strani tunela. Dobijate rezultate, izgledaju uvjerljivo i odgovaraju na pitanje koje niko nije postavio. Prođite kroz pet provjera ispod po redu. Svaka ima uslov za zaustavljanje, a rano zaustavljanje je jeftinije od ponovnog testiranja od nule nakon što je izvještaj napisan.
Korak 1: imenujte površinu koju namjeravate doseći
Tri površine se redovno brkaju jer ih povezuje jedan uređaj. One pokreću različit kod i različitu politiku, pa zapišite koja je u obimu prije nego što se bilo šta započne.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
Ako odobreni obim ne kaže koja od tri, zaustavite se i pitajte. Rootovanje telefona ne odgovara na ovo pitanje i mijenja stvar koja se testira, a ne tačku posmatranja.
Zapišite ciljeve, dozvoljene izvorne adrese, vremenski prozor i ograničenje intenziteta istovremeno. Tunel vas nosi do tog obima; on ne daje licencu za ispitivanje svega što može rutirati.
Korak 2: odaberite izvor koji može vidjeti tu površinu
Skener koji sjedi unutar VPN-a ne može reproducirati neautentificiranog internet posmatrača. On već ima rute, akreditive i dozvole koje vanjski posmatrač nema, pa njegovi rezultati opisuju pogled nakon prijema, čak i kada je ciljna površina ista. Obrnuta greška je jednako česta. Javno skeniranje VPN porta ne govori gotovo ništa o privatnom servisu iza prijave, a predstavljanje toga kao da govori preuveličava izloženost u jednom smjeru i umanjuje je u drugom.
Zaustavite se ako izvor koji možete dobiti ne odgovara površini. Procjena izvedena sa partnera unutar tunela ne treba se predstavljati kao rezultat prije autentifikacije, a test koji zahtijeva odobreni vanjski izvor ne treba se tiho premještati unutra da bi se izbjegla papirologija.
Korak 3: potvrdite rutu i put povratnog odgovora kroz telefon
Kada telefon prosljeđuje u drugu podmrežu, skeneru treba dozvoljena ruta, a cilju put povratka koji radi. Potvrdite oboje umjesto da pretpostavite da odgovor na ping znači da je put kompletan.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Izvorni NAT mijenja ono što nizvodni servis vidi. Ako telefon prevodi adresu skenera, pravila pristupa i zapisi na cilju primjenjuju se na prevedenu adresu, pa servis koji izgleda da vas prihvata možda prihvata telefon, a ne skener.
Pazite i na preklapanje sa mrežom samog skenera. Ako telefon rutira 192.168.1.0/24, a skener sjedi na LAN-u numerisanom na isti način, probe pogađaju lokalne uređaje i izvještaj ih opisuje kao cilj. Provjerite rutu koju bi sam skener koristio prije nego što pošaljete i jedan paket.
Skenirajte stvarnu adresu cilja i zadržite ime hosta koje aplikacija treba za TLS identitet i virtuelni hosting. Dostizanje gatewaya dokazuje da gateway odgovara; to ne testira servis iza njega.
Korak 4: tretirajte otkrivanje kao probu s pretpostavkama
Otkrivanje hostova je mjesto gdje rezultati procjene najčešće odlaze naopako. Lokalno Ethernet otkrivanje ne prelazi rutirani VPN, pa probe koje rade na ravnom LAN-u jednostavno ne stižu. Blokirane probe otkrivanja tada čine dostupan, ovlašten servis kao odsutan.
Svjesno odlučite da li da preskočite otkrivanje i skenirate poznate adrese direktno, pa to recite u izvještaju. Port koji odgovara nije dokaz da je VPN autentifikacija uspjela, a filtriran odgovor nije dokaz da ništa ne sluša. Brzina je dio istog problema. Telefon koji guši ili ispušta pakete pod brzim skeniranjem stvara filtrirana stanja koja pripadaju telefonu, a ne servisu, pa smanjite paralelnost i ponovo skenirajte prije nego što zapišete port kao zatvoren.
Uslov zaustavljanja ovdje je tumačenje, a ne tehnika: ako ne možete reći šta neko stanje znači za ovaj put, rezultat pripada u dodatak, a ne u nalaze.
Korak 5: držite prozor, pa ga zatvorite
Telefon je loš server jer je dizajniran da spava. Optimizacija baterije, doze i upravljanje Wi-Fi napajanjem mogu obustaviti aplikaciju usred procjene, a ponovno povezivanje tunela može promijeniti adresu koju cilj koristi. Izvršavanje koje pređe preko jednog od tih događaja ima nevažeći prozor rezultata.
Držite ulogu gatewaya u najmanjem obimu koji odobreni zadatak dozvoljava, posmatrajte tunel dok je izvršavanje aktivno i zabilježite početak i kraj svakog prozora koji prijavljujete. Kada procjena završi, uklonite privremeni pristup preko njegovog vlasnika, zadržite zapis o izvoru i putu i zaštitite izlaz kao i svaki drugi testni artefakt.
Ako vam treba ponovljiva tačka posmatranja, a ne jednokratni uspjeh, to je isporuka za koju vrijedi argumentovati. referenca o otkrivanju hostova objašnjava koje probe pretpostavljaju lokalni segment, a to je detalj koji prazan rezultat pretvara u održivu tvrdnju.