Dewiswch y pwynt arsylwi cywir ar gyfer sgan VPN ar ffôn
Mae gwrandawr VPN y ffôn, gwasanaeth ar y ffôn a gwesteiwr LAN wedi’i lwybr yn dair arwyneb. Cerddwch y pum cam hyn a stopiwch lle mae’r cwmpas yn stopio.
Mae asesiad awdurdodedig o VPN a gynhelir ar ffôn yn methu’n dawel pan fydd y sganiwr ar ochr anghywir y twnnel. Rydych yn cael canlyniadau, maent yn edrych yn gredadwy, ac maent yn ateb cwestiwn na ofynnodd neb. Cerddwch trwy’r pum gwiriad isod yn eu trefn. Mae gan bob un amod stopio, ac mae stopio’n gynnar yn rhatach na hailsygru o’r dechrau ar ôl ysgrifennu’r adroddiad.
Cam 1: enwch yr arwyneb yr ydych yn bwriadu ei gyrraedd
Mae tri arwyneb yn cael eu drysu’n rheolaidd oherwydd bod un ddyfais yn eu cysylltu. Maent yn defnyddio cod a pholisi gwahanol, felly nodwch pa un sydd o fewn y cwmpas cyn dechrau unrhyw beth.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
Os nad yw’r cwmpas a gymeradwywyd yn dweud pa un o’r tri, stopiwch a gofynnwch. Nid yw gwreiddio’r ffôn yn ateb y cwestiwn hwn, ac mae’n newid y peth sy’n cael ei brofi yn hytrach na’r pwynt arsylwi.
Cofnodwch y targedau, y cyfeiriadau ffynhonnell a ganiateir, y ffenestr amser a’r terfyn dwyster ar yr un pryd. Mae’r twnnel yn eich cludo i’r cwmpas hwnnw; nid yw’n rhoi trwydded i chwilota popeth y gall ei lwybro.
Cam 2: dewiswch y ffynhonnell sy’n gallu gweld yr arwyneb hwnnw
Sganiwr sy’n eistedd y tu mewn i’r VPN ni all atgynhyrchu arsylwr rhyngrwyd heb ei ddilysu. Mae eisoes yn dal llwybrau, tystlythyrau a chaniatadau nad oes gan yr arsylwr allanol, felly mae ei ganlyniadau’n disgrifio’r olygfa ar ôl derbyn hyd yn oed pan fo’r arwyneb targed yr un peth. Mae’r camgymeriad gwrthdro yr un mor gyffredin. Nid yw sgan cyhoeddus o borth VPN yn dweud fawr ddim am wasanaeth preifat y tu ôl i’r mewngofnod, ac mae’i gyflwyno fel petai’n dweud hynny yn gor-ddweud yr amlygiad mewn un cyfeiriad ac yn ei dan-ddweud yn y llall.
Stopiwch os nad yw’r ffynhonnell y gallwch ei chael yn cyfateb i’r arwyneb. Ni ddylid cyflwyno asesiad a redir o gyfoed y tu mewn i’r twnnel fel canlyniad cyn dilysu, ac ni ddylid symud prawf sy’n gofyn am ffynhonnell allanol gymeradwy i’r tu mewn yn dawel er mwyn osgoi’r papurau.
Cam 3: cadarnhewch y llwybr a’r llwybr ateb trwy’r ffôn
Pan fydd y ffôn yn anfon ymlaen i is-rwydwaith arall, mae ar y sganiwr angen llwybr a ganiateir ac mae ar y targed angen llwybr dychwelyd sy’n gweithio. Cadarnhewch y ddau yn lle tybio bod ateb ping yn golygu bod y llwybr yn gyflawn.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Mae NAT ffynhonnell yn newid yr hyn y mae’r gwasanaeth i lawr y llwybr yn ei weld. Os yw’r ffôn yn cyfieithu cyfeiriad y sganiwr, mae’r rheolau mynediad a’r logiau yn y targed yn berthnasol i’r cyfeiriad cyfieithiedig, felly gall gwasanaeth sy’n ymddangos yn eich derbyn fod yn derbyn y ffôn yn hytrach na’r sganiwr.
Gwyliwch hefyd am orgyffwrdd â rhwydwaith y sganiwr ei hun. Os yw’r ffôn yn llwybro 192.168.1.0/24 ac mae’r sganiwr yn eistedd ar LAN sy’n cael ei rifo’r un ffordd, mae’r profion yn taro dyfeisiau lleol ac mae’r adroddiad yn eu disgrifio fel y targed. Gwiriwch y llwybr y byddai’r sganiwr ei hun yn ei ddefnyddio cyn anfon un pecyn.
Sganiwch gyfeiriad go iawn y targed a chadwch yr enw gwesteiwr sydd ei angen ar y rhaglen ar gyfer hunaniaeth TLS a gwesteio rhithwir. Mae cyrraedd porth yn profi bod y porth yn ateb; nid yw’n profi’r gwasanaeth y tu ôl iddo.
Cam 4: triniwch ddarganfod fel prawf â rhagdybiaethau
Darganfod gwesteiwyr yw’r lle mae canlyniadau asesu’n mynd o chwith amlaf. Nid yw darganfod lleol dros Ethernet yn croesi VPN wedi’i lwybro, felly nid yw’r profion sy’n gweithio ar LAN gwastad yn cyrraedd o gwbl. Yna mae profion darganfod wedi’u blocio yn gwneud gwasanaeth cyrraeddadwy, awdurdodedig i edrych yn absennol.
Penderfynwch yn fwriadol a ydych am hepgor darganfod a sganio’r cyfeiriadau hysbys yn uniongyrchol, yna dywedwch hynny yn yr adroddiad. Nid yw porth sy’n ateb yn brawf bod dilysu VPN wedi llwyddo, ac nid yw ateb wedi’i hidlo yn brawf nad oes unrhyw beth yn gwrando. Mae cyflymder yn rhan o’r un broblem. Mae ffôn sy’n tagu neu’n gollwng o dan sgan cyflym yn cynhyrchu cyflyrau hidledig sy’n perthyn i’r ffôn yn hytrach na’r gwasanaeth, felly lleihau cyfochrogrwydd ac ail-sganiwch cyn cofnodi porth fel un caeedig.
Yr amod stopio yma yw dehongliad, nid techneg: os na allwch nodi beth mae cyflwr yn ei olygu ar gyfer y llwybr hwn, mae’r canlyniad yn perthyn mewn atodiad yn hytrach nag yn y canfyddiadau.
Cam 5: daliwch y ffenestr, yna caewch hi
Mae ffôn yn weinydd gwael oherwydd ei fod wedi’i gynllunio i gysgu. Gall optimeiddio batri, doze a rheoli pŵer Wi-Fi atal y rhaglen yng nghanol yr asesiad, a gall ailgysylltu’r twnnel newid y cyfeiriad y mae’r targed yn ei ddefnyddio. Mae rhediad sy’n rhychwantu un o’r digwyddiadau hynny â ffenestr canlyniadau annilys.
Cadwch rôl y porth i’r cwmpas lleiaf y mae’r dasg gymeradwy yn ei chaniatáu, gwyliwch y twnnel tra bo’r rhediad yn fyw, a chofnodwch ddechrau a diwedd pob ffenestr a adroddwch. Pan fydd yr asesiad yn gorffen, tynnwch y mynediad dros dro drwy ei berchennog, cadwch y cofnod ffynhonnell a llwybr, ac amddiffynnwch yr allbwn fel unrhyw arteffact prawf arall.
Os oes angen pwynt arsylwi ailadroddadwy arnoch yn hytrach na llwyddiant un-tro, dyna’r canlyniad i ddadlau drosto. cyfeirlyfr darganfod gwesteiwyr sy’n esbonio pa brofion sy’n tybio segment lleol, sef y manylyn sy’n troi canlyniad gwag yn ddatganiad amddiffynadwy.