Valige telefoni VPN-skaneerimiseks õige vaatluspunkt
Telefoni VPN-kuulaja, telefonil olev teenus ja marsruuditud LAN-host on kolm pinda. Käige läbi need viis sammu ja peatuge seal, kus ulatus lõpeb.
Telefonis majutatava VPN-i volitatud hindamine ebaõnnestub vaikselt, kui skanner istub tunnelist valel pool. Tulemused tulevad, need näivad usutavad ja vastavad küsimusele, mida keegi ei esitanud. Käige allolevad viis kontrolli järjekorras läbi. Igal on peatumistingimus ja varakult peatuda on odavam kui pärast aruande kirjutamist nullist uuesti testida.
Samm 1: nimetage pind, mida kavatsete saavutada
Kolme pinda aetakse tavaliselt segi, sest üks seade ühendab neid. Need käitavad erinevat koodi ja erinevat poliitikat, seega kirjutage enne millegi alustamist üles, milline neist on ulatuses.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
Kui kinnitatud ulatus ei ütle, milline neist kolmest, peatuge ja küsige. Telefoni rootimine ei vasta sellele küsimusele ja muudab testitavat asja, mitte vaatluspunkti.
Kirjutage sihtmärgid, lubatud lähteaadressid, ajavahemik ja intensiivsuse piir korraga üles. Tunnel viib teid sellesse ulatusse; see ei anna luba kontrollida kõike, mida see suudab marsruudida.
Samm 2: valige allikas, mis seda pinda näeb
VPN-i sees istuv skanner ei suuda reprodutseerida autentimata internetivaatlejat. Sellel on juba marsruudid, volitused ja load, mida välisvaatlejal pole, seega kirjeldavad selle tulemused pärast lubamist nähtavat pilti ka siis, kui sihtpind on sama. Vastupidine viga on sama tavaline. VPN-pordi avalik skaneerimine ei ütle privaatse teenuse kohta sisselogimise taga peaaegu midagi ja selle esitamine nii, nagu ütleks, liialdab kokkupuutega ühes suunas ja alahindab seda teises.
Peatuge, kui allikas, mille saate hankida, ei vasta pinnale. Tunnelis sees olevast partnerist tehtud hindamist ei tohiks esitada enne autentimist saadud tulemusena ja testi, mis nõuab kinnitatud välist allikat, ei tohiks paberimajanduse vältimiseks vaikselt sissepoole viia.
Samm 3: kinnitage marsruut ja vastusetee läbi telefoni
Kui seade edastab teise alamvõrku, vajab skanner lubatud marsruuti ja sihtmärk töötavat tagasiteed. Kinnitage mõlemad, selle asemel et eeldada, et ping-vastus tähendab terviklikku teed.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Lähtenat muudab seda, mida järgnev teenus näeb. Kui telefon tõlgib skanneri aadressi, kehtivad sihtmärgi juurdepääsureeglid ja logid tõlgitud aadressile, seega teenus, mis näib teid vastu võtvat, võib vastu võtta telefoni, mitte skannerit.
Jälgige ka kattumist skanneri enda võrguga. Kui telefon marsruudib 192.168.1.0/24 ja skanner istub samamoodi nummerdatud LAN-is, tabavad sondid kohalikke seadmeid ja aruanne kirjeldab neid sihtmärgina. Kontrollige marsruuti, mida skanner ise kasutaks, enne kui saadate ühegi paketi.
Skaneerige sihtmärgi tegelikku aadressi ja säilitage hostinimi, mida rakendus vajab TLS-i identiteedi ja virtuaalmajutuse jaoks. Lüüsile jõudmine tõestab, et lüüs vastab; see ei testi selle taga olevat teenust.
Samm 4: käsitlege avastamist eeldustega sondina
Hostide avastamine on koht, kus hindamistulemused kõige sagedamini untsu lähevad. Kohalik Etherneti avastamine ei ületa marsruuditud VPN-i, seega tasasel LAN-il toimivad sondid lihtsalt ei jõua kohale. Blokeeritud avastamissondid teevad siis kättesaadava, volitatud teenuse näiliselt puuduvaks.
Otsustage teadlikult, kas jätta avastamine vahele ja skaneerida teadaolevaid aadresse otse, ning öelge seda aruandes. Vastav port ei ole tõestus, et VPN-i autentimine õnnestus, ja filtreeritud vastus ei ole tõestus, et miski ei kuula. Kiirus on osa samast probleemist. Telefon, mis kiirel skaneerimisel pidurdab või pakette kaotab, tekitab filtreeritud olekuid, mis kuuluvad telefonile, mitte teenusele, seega vähendage paralleelsust ja skaneerige uuesti, enne kui märgite pordi suletuks.
Peatumistingimus on siin tõlgendus, mitte tehnika: kui te ei suuda öelda, mida üks olek selle tee jaoks tähendab, kuulub tulemus lisasse, mitte leidudesse.
Samm 5: hoidke akent ja sulgege see siis
Telefon on halb server, sest see on loodud magama. Aku optimeerimine, doze ja Wi-Fi energiahaldus võivad rakenduse keset hindamist peatada ning tunneli taasühendamine võib muuta aadressi, mida sihtmärk kasutab. Käivitus, mis hõlmab ühte neist sündmustest, omab kehtetut tulemuste akent.
Hoidke lüüsi rolli väikseimas ulatuses, mille kinnitatud ülesanne lubab, jälgige tunnelit, kuni käivitus on elus, ja logige iga raporteeritava akna algus ja lõpp. Kui hindamine lõpeb, eemaldage ajutine juurdepääs selle omaniku kaudu, säilitage allika ja tee kirje ning kaitske väljundit nagu iga teist testartefakti.
Kui vajate korratavat vaatluspunkti, mitte ühekordset õnnestumist, on see tulem, mille poolt tasub argumenteerida. hostide avastamise viide selgitab, millised sondid eeldavad kohalikku segmenti, ja just see detail muudab tühja tulemuse kaitstavaks väiteks.