Nessus tra VPN: kie meti la skanilon antaŭ la unua skano

VPN-ikono apud la retumilo diras nenion pri la procezo, kiu sendas la skanpakaĵojn. Se la konsolo kaj la skanilo ruliĝas sur malsamaj gastigantoj, la tunelo de la retumilo estas unu vojo kaj la fonto de la skano estas alia. Komencu ĉe la plenuma punkto, poste iru eksteren: la itinero, la rajtigo kaj la akreditaĵoj. Tiu distingo estas la unua ero de la listo ial.

Ĉi tio estas kontrol-listo antaŭ la lanĉo, ne lernilo pri skanado. Ĉiu paŝo produktas fakton, kiun vi povas enskribi en la laboran registron antaŭ ol iu ajn pakaĵo forlasas la skanilon.

Unua kontrolo: trovu la procezon, kiu sendas la sondojn

Desegnu la tri rolojn klare: la retumilon sur tekkomputilo A, la skan-konsolon sur gastiganto B kaj la privatan celon C. Se B ankaŭ ruligas la skanmaŝinon, la retumilo bezonas nur vojon al B. Se aparta skan-aparato faras la laboron, tiu aparato bezonas la vojon al C.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

Retumilo konektita al VPN povas atingi la konsolon, dum la skanilo malantaŭ ĝi ankoraŭ ne havas itineron al C. Ankaŭ eblas la malo: la skanilo estas en la privata reto kaj la konsolo estas fora. Eltrovu, kiun aranĝon vi efektive ruligas antaŭ ol ŝanĝi ajnan retan regilon. Nomu la aparaton en la skan-agordo antaŭ ol kulpigi la reton.

Se la skanilo ruliĝas sur A, la gastiganto de la retumilo kaj la skanilo dividas kuntekston, sed nur dum tiu procezo konservas la saman nomspacon kaj la saman enkursigan tabelon. Ujo aŭ servo-konto eble ne heredas tion, kion vidas la interaga retumilo. La konsolo estas administra surfaco, ne la skanmaŝino.

Dua kontrolo: pruvu la itineron kaj DNS de la skanilo

Rulu la itineran kontrolon sur la gastiganto de la skanilo, ne sur la tekkomputilo. Demandu la kernon, kiun interfacon kaj pordegon ĝi uzus por la adreso de la celo, poste ripetu por la gastigantnomo de la celo. Itinero, kiu ekzistas por la IP, kaj nomo, kiu solviĝas al alia adreso, estas du malsamaj misfunkcioj.

Konfirmu la fontan adreson, kiu aperos ĉe la celo. VPN-kliento povas atribui alian adreson ol tiu, kiun atendas la fajroŝirmilo de la celo, kaj NAT-aparato povas reverŝi ĝin denove. La posedanto de la celo bezonas la observitan fonton, ne la adreson presitan en la VPN-profilo.

Kontrolu ankaŭ la revenan vojon. Skanilo, kiu atingas la celon sed ricevas neniujn respondojn, havas itineran aŭ fajroŝirmilan problemon sur la reiro, kaj tio aspektas idente al celo, kiu estas malŝaltita.

Tria kontrolo: akiru rajtigon por la amplekso kaj vidpunkto

Petu la posedanton de la celo skribe nomi la sistemojn, servojn, medion, fonton kaj tempofenestron. Decidu, kiun vidpunkton la takso reprezentas: ekstera VPN-uzanto, allasita interna kliento aŭ specifa skan-segmento.

Privata itinero ne estas permeso testi najbarajn retojn. Tenu la celliston mallarĝa, listigu ekskluditajn sistemojn kaj interkonsentu haltkondiĉojn kaj kontakton, kiu povas haltigi la ruladon. La skanilo volonte sondas ĉion, kion ĝi povas atingi, kaj ĝuste tial la amplekso devas esti eksplicita.

Registru la aprobitan fonton en la sama dokumento. Se la observita fonto de la skanilo diferencas de la aprobita, la rulado ne reprezentas la interkonsentitan vidpunkton eĉ kiam la cellisto estas ĝusta.

Kvara kontrolo: agordu la akreditaĵojn al la profundo de la takso

Atingebleca kontrolo kaj aŭtentikigita takso estas malsamaj testoj. Pordrespondo pruvas, ke io respondis; ĝi ne pruvas, ke kontroloj kun akreditaĵoj ruliĝis aŭ ke la aplikaĵo rajtigis la konton.

Uzu dediĉitajn akreditaĵojn nur kiam la interkonsentita amplekso postulas aŭtentikigitajn kontrolojn. Konfirmu la rajtojn kaj la ŝlosan politikon de la konto, kaj decidu kiel trovoj estos konservitaj kaj dividitaj antaŭ ol la skano produktas ilin.

Se la akreditaĵoj malsukcesas, ne glite al neaŭtentikigita rulado kaj ne etikedu la raporton kiel la planitan takson. La rezulto estas alia testo kun alia signifo, kaj tiu diferenco apartenas al la raporto.

Kvina kontrolo: konservu la planon, poste lanĉu konscie

En la skan-laborfluo de Nessus, elekti ŝablonon, konfiguri agordojn kaj konservi aŭ lanĉi la skanon estas apartaj paŝoj. Uzu tiun apartigon por revizii la celliston, la fonton kaj la horaron antaŭ ol komenciĝas ajna trafiko.

Antaŭ ol vi rajtigas la lanĉon, kontrolu kiun fonton la VPN permesas, kiun trafikon ĝi portas kaj kiel ĝi resaniĝas post rompita tunelo. Ne larĝigu la fajroŝirmilan aliron nur ĉar prepara konekto malsukcesis; trovu la tavolon, kiu rifuzis ĝin, kaj riparu tiun tavolon.

Post la rulado, registru la gastiganton de la skanilo, ĝian observitan fonton, la celliston kaj ĉiujn kontrolojn, kiuj ne povis finiĝi. Raporto produktita el alia fonto aŭ sen la celitaj akreditaĵoj ne reprezentas la originan planon, kaj diri tion estas parto de la liveraĵo.

Retiru la aliron de la tasko kaj traktu konservitajn rezultojn laŭ la interkonsentita procezo. La kontrol-listo finiĝas nur kiam la pruvoj kongruas kun la vojo, kiun vi aprobis, ne kiam la skano simple redonis rezultojn.