Elektu la ĝustan observpunkton por VPN-skanado sur telefono
La VPN-auskultanto de telefono, servico sur la telefono kaj enkursigita LAN-gastiganto estas tri surfacoj. Trapasu ĉi tiujn kvin paŝojn kaj haltu tie, kie la amplekso haltas.
Rajtigita pritakso de telefono-gastigata VPN malsukcesas silente, kiam la skanilo sidas sur la malĝusta flanko de la tunelo. Vi ricevas rezultojn, ili aspektas kredindaj, kaj ili respondas demandon, kiun neniu starigis. Trapasu la kvin kontrolojn sube laŭvice. Ĉiu havas haltkondiĉon, kaj halti frue estas pli malmultekosta ol retesti de nulo post kiam la raporto estas skribita.
Paŝo 1: nomu la surfacon, kiun vi intencas atingi
Tri surfacoj estas rutine konfuzataj, ĉar unu aparato ligas ilin. Ili funkciigas malsaman kodon kaj malsaman politikon, do skribu, kiu el ili estas en la amplekso, antaŭ ol io ajn komenciĝos.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
Se la aprobita amplekso ne diras, kiu el la tri, haltu kaj demandu. Radikigi la telefonon ne respondas ĉi tiun demandon, kaj ĝi ŝanĝas la testatan aferon anstataŭ la observpunkton.
Notu la celojn, la permesitajn fontadresojn, la tempofenestron kaj la intenseclimon samtempe. La tunelo portas vin en tiun amplekson; ĝi ne donas permeson sondi ĉion, kion ĝi povas enkursigi.
Paŝo 2: elektu la fonton, kiu povas vidi tiun surfacon
Skanilo sidanta ene de la VPN ne povas reprodukti neaŭtentikigitan interretan observanton. Ĝi jam havas vojregistrojn, akreditaĵojn kaj permesojn, kiuj mankas al la ekstera observanto, do ĝiaj rezultoj priskribas la vido post eniro eĉ kiam la celsurfaco estas la sama. La inversa eraro estas same ofta. Publika skanado de la VPN-pordo preskaŭ nenion diras pri privata servico malantaŭ la ensaluto, kaj prezenti ĝin kvazaŭ ĝi diras troigas la eksponiĝon en unu direkto kaj subtakas ĝin en la alia.
Haltu, se la fonto, kiun vi povas akiri, ne kongruas kun la surfaco. Pritakso farita de samtavolano ene de la tunelo nepre ne estu prezentata kiel rezulto antaŭ aŭtentikigo, kaj teston, kiu postulas aprobitan eksteran fonton, nepre ne estu silente movata enen por eviti la paperaron.
Paŝo 3: konfirmu la itineron kaj la respondan vojon tra la telefono
Kiam la aparato plusendas al alia subreto, la skanilo bezonas permesitan itineron kaj la celo bezonas funkciantan respondan vojon. Konfirmu ambaŭ anstataŭ supozi, ke ping-respondo signifas, ke la vojo estas kompleta.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Fonta NAT ŝanĝas tion, kion vidas la malsupra servico. Se la telefono tradukas la adreson de la skanilo, la alirreguloj kaj protokoloj ĉe la celo validas por la tradukita adreso, do servico, kiu ŝajne akceptas vin, eble akceptas la telefonon kaj ne la skanilon.
Atentu ankaŭ pri interkovro kun la propra reto de la skanilo. Se la telefono enkursigas 192.168.1.0/24 kaj la skanilo sidas en LAN numerita same, la sondoj trafas lokajn aparatojn kaj la raporto priskribas ilin kiel la celon. Kontrolu la itineron, kiun la skanilo mem uzus, antaŭ ol sendi eĉ unu paketon.
Skanu la realan celadreson kaj konservu la gastigantnomon, kiun la aplikaĵo bezonas por TLS-identeco kaj virtuala gastigado. Atingi pordegon pruvas, ke la pordego respondas; ĝi ne testas la servicon malantaŭ ĝi.
Paŝo 4: traktu malkovron kiel sondadon kun supozoj
Gastigantomalkovro estas la loko, kie pritaksaj rezultoj plej ofte fuŝiĝas. Loka Eterreto-malkovro ne transpontas enkursigitan VPN, do la sondoj, kiuj funkcias en plata LAN, simple ne alvenas. Blokitaj malkovrosondoj tiam igas atingeblan, rajtigitan servicon aspekti foresta.
Decidu konscie, ĉu preterpasi malkovron kaj skani la konatajn adresojn rekte, kaj diru tion en la raporto. Pordo, kiu respondas, ne estas pruvo, ke VPN-aŭtentikigo sukcesis, kaj filtrita respondo ne estas pruvo, ke nenio aŭskultas. La rapideco estas parto de la sama problemo. Telefono, kiu limigas aŭ forĵetas dum rapida skanado, produktas filtritajn statojn, kiuj apartenas al la telefono kaj ne al la servico, do malpliigu samtempecon kaj reskanu antaŭ ol registri pordon kiel fermita.
La haltkondiĉo ĉi tie estas interpretado, ne tekniko: se vi ne povas diri, kion stato signifas por ĉi tiu vojo, la rezulto apartenas al aldonaĵo kaj ne al la trovoj.
Paŝo 5: tenu la fenestron, poste fermu ĝin
Telefono estas malbona servilo, ĉar ĝi estas dizajnita por dormi. Bateria optimumigo, doze kaj Wi-Fi-energia administrado povas paŭzigi la aplikaĵon meze de la pritakso, kaj rekonekto de la tunelo povas ŝanĝi la adreson, kiun la celo uzas. Rulo, kiu etendiĝas trans unu el tiuj eventoj, havas nevalidan rezultofenestron.
Tenu la pordegan rolon en la plej malgranda amplekso, kiun la aprobita tasko permesas, observu la tunelon dum la rulo estas viva, kaj registru la komencon kaj finon de ĉiu fenestro, kiun vi raportas. Kiam la pritakso finiĝos, forigu la provizoran aliron per ĝia posedanto, konservu la registron pri fonto kaj vojo, kaj protektu la eligon kiel ĉiun alian testan artefakton.
Se vi bezonas ripeteblan observpunkton anstataŭ unufoja sukceso, tio estas la liveraĵo, por kiu indas argumenti. la referenco pri gastigantomalkovro klarigas, kiuj sondoj supozas lokan segmenton, kaj tio estas la detalo, kiu igas malplenan rezulton defendebla aserto.