Kies it juste observaasjepunt foar in VPN-scan op in telefoan
De VPN-harker fan in telefoan, in tsjinst op de telefoan en in rûte LAN-host binne trije oerflakken. Rin dizze fiif stappen troch en stop wêr’t it berik stopt.
In autorisearre beoardieling fan in VPN dy’t op in telefoan host wurdt, mislearret stil as de scanner oan de ferkearde kant fan ’e tunnel sit. Do krije resultaten, se lykje oannimlik, en se beäntwurdzje in fraach dy’t nimmen stelde. Rin de fiif kontrôles hjirûnder yn oarder troch. Elk hat in stopbetingst, en betiid stopje is goedkeaper as opnij testen fanôf nul neidat it rapport skreaun is.
Stap 1: neam it oerflak dat do berikke wolst
Trije oerflakken wurde gauris trochelkoar helle, om’t ien apparaat se ferbynt. Se fierskille yn koade en belied, dus skriuw foarôf op hokker fan ’e trije yn it berik leit.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
As it goedkarde berik net seit hokker fan ’e trije, stop en freegje. Root jaan oan ’e telefoan beäntwurdet dizze fraach net, en it feroaret it ding dat test wurdt, net it observaasjepunt.
Skriuw de doelen, de tastiene boarneadressen, it tiidfinster en de yntinsiteitsgrins tagelyk op. De tunnel bringt dy yn dat berik; hy jout gjin lisinsje om alles te ûndersykjen dat er routeje kin.
Stap 2: kies de boarne dy’t dat oerflak sjen kin
In scanner binnen de VPN kin in net-autentisearre ynternet-observator net reprodusearje. Hy hat al rûtes, oanmeldgegevens en tastimmingen dy’t de bûtenste observator mist, dus syn resultaten beskriuwe it byld nei talitting, sels as it doeloerflak itselde is. De omkearde flater is like gewoan. In iepenbiere scan fan ’e VPN-poarte seit hast neat oer in privee-tsjinst efter de oanmelding, en it sa bringe as soe it dat wol dwaan, oerskat de bleatstelling yn ’e iene rjochting en ûnderskat dy yn ’e oare.
Stop as de boarne dy’t do krije kinst net by it oerflak past. In beoardieling út in peer binnen de tunnel moat net as resultaat foar autentikaasje presintearre wurde, en in test dy’t in goedkarde eksterne boarne freget moat net stil nei binnen ferpleatst wurde om it papierwurk te ûntwykjen.
Stap 3: befêstigje de rûte en it antwurdpaad troch de telefoan
As it apparaat trochstjoert nei in oar subnet, hat de scanner in tastiene rûte nedich en it doel in wurkjend werompaad. Befêstigje beide ynstee fan oan te nimmen dat in ping-antwurd betsjut dat it paad folslein is.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Boarne-NAT feroaret wat de tsjinst streamôf sjocht. As de telefoan it adres fan ’e scanner oerset, jilde de tagongsregels en logboeken by it doel foar it oersette adres, dus in tsjinst dy’t dy liket te akseptearjen, akseptearret miskien de telefoan en net de scanner.
Let ek op oerlap mei it eigen netwurk fan ’e scanner. As de telefoan 192.168.1.0/24 routelet en de scanner sit op in LAN mei deselde nûmering, treffe de probes lokale apparaten en it rapport beskriuwt se as it doel. Kontrolearje de rûte dy’t de scanner sels brûke soe foardat do ien pakket stjoerst.
Scan it echte doeladres en hâld de hostnamme dy’t de applikaasje nedich hat foar TLS-identiteit en firtuele hosting. In gateway berikke bewiist dat de gateway antwurdet; it testet de tsjinst derachter net.
Stap 4: behannelje ûntdekking as in probe mei oannames
Hostûntdekking is it plak dêr’t beoardielingsresultaten it meast misgeane. Lokale Ethernet-ûntdekking krúst in rûte VPN net, dus de probes dy’t op in platte LAN wurkje, komme gewoan net oan. Blokkearre ûntdekkingsprobes meitsje dan in berikbere, autorisearre tsjinst as ôfwêzich.
Beslút bewust oft do ûntdekking oerslaan wolst en de bekende adressen direkt scannen, en sis dat yn it rapport. In poarte dy’t antwurdet is gjin bewiis dat VPN-autentikaasje slagge is, en in filtere antwurd is gjin bewiis dat nimmen harket. It tempo is part fan itselde probleem. In telefoan dy’t by in snelle scan smoart of pakketten ferliest, makket filtere steaten dy’t by de telefoan hearre en net by de tsjinst, dus ferleegje de paralleliteit en scan opnij foardat do in poarte as sletten fêstleit.
De stopbetingst hjir is ynterpretaasje, net technyk: as do net sizze kinst wat in steat foar dit paad betsjut, heart it resultaat yn in bylage en net yn ’e befiningen.
Stap 5: hâld it finster en slút it dan
In telefoan is in minne server, om’t er ûntwurpen is om te sliepen. Batterij-optimisaasje, doze en Wi-Fi-enerzjybehear kinne de app midden yn ’e beoardieling ophâlde, en in werferbining fan ’e tunnel kin it adres feroarje dat it doel brûkt. In run dy’t ien fan dy barrens oerspant, hat in ûnjildich resultaatfinster.
Hâld de gateway-rol by it lytste berik dat de goedkarde taak tastiet, besjoch de tunnel wylst de run libben is, en log it begjin en ein fan elk finster dat do rapportearrest. As de beoardieling einiget, ferwiderje dan de tydlike tagong fia syn eigner, hâld it boarne- en rûtcrecord, en beskermje de útfier as elk oar testartefakt.
As do in werhellber observaasjepunt nedich hast ynstee fan in ienmalige sukses, is dat it leveringsprodukt dêr’t do arguminten foar meitsje moatst. de referinsje oer hostûntdekking ferklearret hokker probes in lokaal segmint ferûnderstelle, en dat is it detail dat in leech resultaat yn in ferdigenbere útspraak feroaret.