Ընտրեք ճիշտ դիտարկման կետը հեռախոսի VPN սկանավորման համար
Հեռախոսի VPN լսիչը, հեռախոսի վրա գտնվող ծառայությունը և երթուղավորված LAN հոսթը երեք մակերեսներ են։ Անցեք այս հինգ քայլերը և կանգ առեք այնտեղ, որտեղ ավարտվում է շրջանակը։
Հեռախոսում տեղակայված VPN-ի լիազորված գնահատումը լուռ ձախողվում է, երբ սկաները նստում է թունելի սխալ կողմում։ Դուք արդյունքներ եք ստանում, դրանք հավանական են թվում և պատասխանում են մի հարցի, որը ոչ ոք չի տվել։ Անցեք ստորև նշված հինգ ստուգումները հերթականությամբ։ Յուրաքանչյուրն ունի կանգառի պայման, և վաղ կանգ առնելն ավելի էժան է, քան զեկույցը գրելուց հետո զրոյից նորից փորձարկելը։
Քայլ 1. անվանեք այն մակերեսը, որին ուզում եք հասնել
Երեք մակերեսներ հաճախ շփոթում են, որովհետև մեկ սարք է դրանք միացնում։ Դրանք տարբեր կոդ և տարբեր քաղաքականություն են գործարկում, ուստի նախքան որևէ բան սկսելը գրեք, թե որն է շրջանակում։
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
Եթե հաստատված շրջանակը չի ասում, թե որն է երեքից, կանգ առեք և հարցրեք։ Հեռախոսի root-ը չի պատասխանում այս հարցին և փոխում է փորձարկվողը, ոչ թե դիտարկման կետը։
Միաժամանակ գրանցեք թիրախները, թույլատրված աղբյուրի հասցեները, ժամանակային պատուհանը և ինտենսիվության սահմանը։ Թունելը ձեզ տանում է այդ շրջանակ, այն չի լիցենզավորում ստուգել այն ամենը, ինչ կարող է երթուղավորել։
Քայլ 2. ընտրեք այն աղբյուրը, որը կարող է տեսնել այդ մակերեսը
VPN-ի ներսում նստած սկաները չի կարող վերարտադրել չնույնականացված ինտերնետ դիտորդի։ Այն արդեն ունի երթուղիներ, հավատարմագրեր և թույլտվություններ, որոնցից զուրկ է արտաքին դիտորդը, ուստի դրա արդյունքները նկարագրում են ընդունումից հետո տեսարանը, նույնիսկ երբ թիրախ մակերեսը նույնն է։ Հակառակ սխալը նույնքան տարածված է։ VPN պորտի հանրային սկանավորումը գրեթե ոչինչ չի ասում մուտքի հետևում գտնվող մասնավոր ծառայության մասին, և այն ներկայացնելը, կարծես թե ասում է, մի ուղղությամբ չափազանցնում է ազդեցությունը, իսկ մյուսում՝ թերագնահատում։
Կանգ առեք, եթե ձեռք բերած աղբյուրը չի համապատասխանում մակերեսին։ Թունելի ներսում գործընկերից կատարված գնահատումը չպետք է ներկայացվի որպես մինչև նույնականացում արդյունք, և թույլատրված արտաքին աղբյուր պահանջող թեստը չպետք է լուռ տեղափոխվի ներս՝ թղթաբանությունից խուսափելու համար։
Քայլ 3. հաստատեք երթուղին և պատասխանի ուղին հեռախոսի միջով
Երբ սարքը փոխանցում է այլ ենթացանց, սկաներին պետք է թույլատրված երթուղի, իսկ թիրախին՝ աշխատող վերադարձի ուղի։ Հաստատեք երկուսը, փոխարենը ենթադրելու, որ ping պատասխանը նշանակում է ամբողջական ուղի։
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Աղբյուրային NAT-ը փոխում է, ինչ տեսնում է ներքևի ծառայությունը։ Եթե հեռախոսը թարգմանում է սկաների հասցեն, թիրախի մուտքի կանոններն ու գրանցամատյանները կիրառվում են թարգմանված հասցեի վրա, ուստի ծառայությունը, որը կարծես ընդունում է ձեզ, գուցե ընդունում է հեռախոսին, ոչ թե սկաներին։
Ուշադրություն դարձրեք նաև սկաների սեփական ցանցի հետ համընկնմանը։ Եթե հեռախոսը երթուղավորում է 192.168.1.0/24, և սկաները նույն ձևով համարակալված LAN-ում է, ապա փորձերը դիպչում են տեղական սարքերին, և զեկույցը դրանց նկարագրում է որպես թիրախ։ Մեկ փաթեթ անգամ ուղարկելուց առաջ ստուգեք այն երթուղին, որը կօգտագործեր ինքը սկաները։
Սկանավորեք թիրախի իրական հասցեն և պահպանեք այն հոսթանունը, որն անհրաժեշտ է հավելվածին TLS ինքնության և վիրտուալ հոսթինգի համար։ Դարպասին հասնելը ապացուցում է, որ դարպասը պատասխանում է, այն չի փորձարկում դրա հետևում գտնվող ծառայությունը։
Քայլ 4. հայտնաբերումը դիտարկեք որպես ենթադրություններով փորձ
Հոսթերի հայտնաբերումը այն տեղն է, որտեղ գնահատման արդյունքներն ամենից հաճախ սխալվում են։ Տեղական Ethernet հայտնաբերումը չի անցնում երթուղավորված VPN-ով, ուստի հարթ LAN-ում աշխատող փորձերը պարզապես չեն հասնում։ Արգելափակված հայտնաբերման փորձերն այնուհետև հասանելի, լիազորված ծառայությունը ցույց են տալիս որպես բացակայող։
Գիտակցաբար որոշեք՝ բաց թողնե՞լ հայտնաբերումը և ուղղակիորեն սկանավորել հայտնի հասցեները, ապա ասեք դա զեկույցում։ Պատասխանող պորտը VPN նույնականացման հաջողության ապացույց չէ, և զտված պատասխանը ապացույց չէ, որ ոչինչ չի լսում։ Արագությունը նույն խնդրի մասն է։ Արագ սկանավորման տակ սահմանափակող կամ փաթեթ կորցնող հեռախոսը ստեղծում է զտված վիճակներ, որոնք պատկանում են հեռախոսին, ոչ թե ծառայությանը, ուստի նվազեցրեք զուգահեռությունը և նորից սկանավորեք նախքան պորտը փակ գրանցելը։
Կանգառի պայմանն այստեղ մեկնաբանությունն է, ոչ թե տեխնիկան. եթե չեք կարող ասել, թե ինչ է նշանակում վիճակը այս ուղու համար, արդյունքը պատկանում է հավելվածին, ոչ թե հայտնաբերումներին։
Քայլ 5. պահեք պատուհանը, ապա փակեք այն
Հեռախոսը վատ սերվեր է, որովհետև այն նախատեսված է քնելու համար։ Մարտկոցի օպտիմիզացումը, doze-ը և Wi-Fi էներգիայի կառավարումը կարող են կասեցնել հավելվածը գնահատման կեսին, և թունելի վերակապումը կարող է փոխել թիրախի օգտագործած հասցեն։ Նման իրադարձություններից մեկն ընդգրկող աշխատանքն ունի անվավեր արդյունքի պատուհան։
Պահեք դարպասի դերը լիազորված առաջադրանքի թույլատրած ամենափոքր շրջանակում, դիտեք թունելը, քանի դեռ աշխատանքը կենդանի է, և գրանցեք ձեր հաղորդած յուրաքանչյուր պատուհանի սկիզբն ու ավարտը։ Երբ գնահատումն ավարտվի, հեռացրեք ժամանակավոր մուտքը դրա սեփականատիրոջ միջոցով, պահպանեք աղբյուրի և ուղու գրառումը և պաշտպանեք ելքը ինչպես ցանկացած այլ թեստային արտեֆակտ։
Եթե ձեզ պետք է կրկնելի դիտարկման կետ, այլ ոչ թե մեկանգամյա հաջողություն, դա է այն արդյունքը, որի օգտին արժե փաստարկել։ հոսթերի հայտնաբերման հղումը բացատրում է, թե որ փորձերն են ենթադրում տեղական հատված, և հենց այդ մանրամասնությունն է դատարկ արդյունքը դարձնում պաշտպանելի պնդում։