Nessus dros VPN: ble i osod y sganiwr cyn yr archwiliad cyntaf

Nid yw eicon VPN wrth ymyl y porwr yn dweud dim am y broses sy’n anfon y pecynnau sganio. Os yw’r consol a’r sganiwr yn rhedeg ar westeiwyr gwahanol, mae twnnel y porwr yn un llwybr ac mae ffynhonnell y sganio yn un arall. Dechreuwch gyda’r pwynt gweithredu, yna symudwch allan: y llwybr, yr awdurdodiad a’r manylion mewngofnodi. Mae’r gwahaniaeth hwnnw’n gyntaf ar y rhestr am reswm.

Rhestr wirio cyn lansio yw hon, nid tiwtorial sganio. Mae pob cam yn cynhyrchu ffaith y gallwch ei chofnodi yn y cofnod gwaith cyn i unrhyw becyn adael y sganiwr.

Gwiriad cyntaf: dod o hyd i’r broses sy’n anfon y profion

Tynnwch y tri rôl yn glir: y porwr ar y gliniadur A, y consol sganio ar y gwesteiwr B a’r targed preifat C. Os yw B hefyd yn rhedeg yr injan sganio, dim ond llwybr i B sydd ei angen ar y porwr. Os mai offeryn sganio ar wahân sy’n gwneud y gwaith, mae angen y llwybr i C ar yr offeryn hwnnw.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

Gall porwr sydd wedi’i gysylltu â’r VPN gyrraedd y consol tra nad oes gan y sganiwr y tu ôl iddo lwybr i C o hyd. Mae’r gwrthwyneb hefyd yn bosibl: mae’r sganiwr y tu mewn i’r rhwydwaith preifat a’r consol yn bell. Darganfyddwch pa drefniant rydych chi’n ei redeg mewn gwirionedd cyn newid unrhyw reolaeth rwydwaith. Enwch yr offeryn yng nghyfluniad y sgan cyn beio’r rhwydwaith.

Os yw’r sganiwr yn rhedeg ar A, mae gwesteiwr y porwr a’r sganiwr yn rhannu cyd-destun, ond dim ond tra bod y broses honno’n cadw’r un gofod enwau a’r un tabl llwybro. Efallai na fydd cynhwysydd neu gyfrif gwasanaeth yn etifeddu’r hyn y mae’r porwr rhyngweithiol yn ei weld. Arwyneb rheoli yw’r consol, nid yr injan sganio.

Ail wiriad: profwch lwybr a DNS y sganiwr

Rhedegwch y gwiriad llwybr ar westeiwr y sganiwr, nid ar y gliniadur. Gofynnwch i’r cnewyllyn pa ryngwyneb a pha borth yn ei ddefnyddio ar gyfer cyfeiriad y targed, yna ailadroddwch ar gyfer enw gwesteiwr y targed. Mae llwybr sy’n bodoli ar gyfer yr IP ac enw sy’n datrys i gyfeiriad arall yn ddau fethiant gwahanol.

Cadarnhewch y cyfeiriad ffynhonnell a fydd yn ymddangos wrth y targed. Gall cleient VPN neilltuo cyfeiriad gwahanol i’r un y mae mur cadarn y targed yn ei ddisgwyl, a gall dyfais NAT ei ailysgrifennu eto. Mae ar berchennog y targed angen y ffynhonnell a arsylwyd, nid y cyfeiriad a argraffwyd yn y proffil VPN.

Gwiriwch y llwybr dychwelyd hefyd. Mae gan sganiwr sy’n cyrraedd y targed ond nad yw’n cael atebion broblem llwybro neu fur cadarn ar y ffordd yn ôl, ac mae hynny’n edrych yn union fel targed sydd i lawr.

Trydydd gwiriad: cael awdurdodiad ar gyfer y cwmpas a’r safbwynt

Gofynnwch i berchennog y targed enwi’n ysgrifenedig y systemau, y gwasanaethau, yr amgylchedd, y ffynhonnell a’r ffenestr amser. Penderfynwch pa safbwynt y mae’r asesiad yn ei gynrychioli: defnyddiwr VPN allanol, cleient mewnol a dderbyniwyd neu segment sganiwr penodol.

Nid yw llwybr preifat yn ganiatâd i brofi rhwydweithiau cyfagos. Cadwch y rhestr darged yn gul, rhestru’r systemau a eithriwyd a chytuno ar amodau stopio a chyswllt a all atal y rhediad. Bydd y sganiwr yn archwilio’n fodlon bopeth y gall ei gyrraedd, a dyna’n union pam mae’r cwmpas yn gorfod bod yn eglur.

Cofnodwch y ffynhonnell a gymeradwywyd yn yr un ddogfen. Os yw ffynhonnell a arsylwyd gan y sganiwr yn wahanol i’r un a gymeradwywyd, nid yw’r rhediad yn cynrychioli’r safbwynt y cytunwyd arno hyd yn oed pan fo’r rhestr darged yn gywir.

Pedwerydd gwiriad: paru’r manylion mewngofnodi â dyfnder yr asesiad

Mae gwiriad cyrraeddadwyedd ac asesiad dilysiedig yn brofion gwahanol. Mae ateb porth yn profi bod rhywbeth wedi ateb; nid yw’n profi bod gwiriadau â manylion mewngofnodi wedi rhedeg na bod y cymhwysiad wedi awdurdodi’r cyfrif.

Defnyddiwch fanylion mewngofnodi pwrpasol dim ond pan fo’r cwmpas y cytunwyd arno yn gofyn am wiriadau dilysiedig. Cadarnhewch hawliau’r cyfrif a’r polisi cloi, a phenderfynwch sut y bydd canfyddiadau’n cael eu storio a’u rhannu cyn i’r sgan eu cynhyrchu.

Os bydd’r manylion mewngofnodi yn methu, peidiwch â throi’n dawel i rediad heb ddilysu ac na labelwch yr adroddiad fel yr asesiad a gynlluniwyd. Mae’r canlyniad yn brawf gwahanol ag ystyr gwahanol, ac mae’r gwahaniaeth hwnnw’n perthyn i’r adroddiad.

Pumed gwiriad: arbedwch y cynllun, yna lansiwch yn fwriadol

Yn llif gwaith sganio Nessus, mae dewis templed, ffurfweddu gosodiadau ac arbed neu lansio’r sgan yn gamau ar wahân. Defnyddiwch y gwahanu hwnnw i adolygu’r rhestr darged, y ffynhonnell a’r amserlen cyn i unrhyw draffig ddechrau.

Cyn i chi awdurdodi’r lansiad, gwiriwch pa ffynhonnell y mae’r VPN yn ei chaniatáu, pa draffig y mae’n ei gario a sut y mae’n gwella ar ôl i dwnnel gwympo. Peidiwch â lledu mynediad y mur cadarn dim ond oherwydd bod cysylltiad rhagarweiniol wedi methu; dewch o hyd i’r haen a’i gwrthododd a thrwsiwch y haen honno.

Ar ôl y rhediad, cofnodwch westeiwr y sganiwr, y ffynhonnell a arsylwyd, y rhestr darged ac unrhyw wiriadau na ellid eu cwblhau. Nid yw adroddiad a gynhyrchwyd o ffynhonnell wahanol neu heb y manylion mewngofnodi a fwriadwyd yn cynrychioli’r cynllun gwreiddiol, ac mae dweud hynny yn rhan o’r cyflenwad.

Tynnwch fynediad y gwaith yn ôl a thriniwch y canlyniadau a gadwyd yn unol â’r broses y cytunwyd arni. Dim ond pan fo’r dystiolaeth yn cyfateb i’r llwybr a gymeradwywyd gennych y mae’r rhestr wirio wedi gorffen, nid pan fo’r sgan newydd ddychwelyd canlyniadau.