აირჩიეთ სწორი დაკვირვების წერტილი ტელეფონზე VPN სკანირებისთვის
ტელეფონის VPN მსმენელი, ტელეფონზე არსებული სერვისი და მარშრუტიზებული LAN ჰოსტი სამი ზედაპირია. გაიარეთ ეს ხუთი ნაბიჯი და გაჩერდით იქ, სადაც არე მთავრდება.
ტელეფონზე განლაგებული VPN-ის ავტორიზებული შეფასება ჩუმად ვარდება, როცა სკანერი გვირაბის არასწორ მხარეს ზის. შედეგებს იღებთ, ისინი დამაჯერებლად გამოიყურება და პასუხობს კითხვას, რომელიც არავის დაუსვამს. გაიარეთ ქვემოთ მოცემული ხუთი შემოწმება თანმიმდევრობით. თითოეულს აქვს გაჩერების პირობა და ადრე გაჩერება იაფია, ვიდრე ანგარიშის დაწერის შემდეგ ნულიდან ხელახლა ტესტირება.
ნაბიჯი 1: დაასახელეთ ზედაპირი, რომლის მიღწევაც გსურთ
სამი ზედაპირი ხშირად ერევა ერთმანეთს, რადგან ერთი მოწყობილობა აკავშირებს მათ. ისინი სხვადასხვა კოდსა და სხვადასხვა პოლიტიკას ამუშავებენ, ამიტომ სანამ რამეს დაიწყებთ, ჩაწერეთ, რომელია არეში.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
თუ დამტკიცებული არე არ ამბობს, რომელია სამიდან, გაჩერდით და იკითხეთ. ტელეფონის root-ი ამ კითხვას არ პასუხობს და ცვლის სატესტო ობიექტს და არა დაკვირვების წერტილს.
ერთდროულად ჩაწერეთ სამიზნეები, დაშვებული წყაროს მისამართები, დროის ფანჯარა და ინტენსივობის ზღვარი. გვირაბი მიგიყვანთ ამ არემდე; ის არ გაძლევთ ლიცენზიას შეამოწმოთ ყველაფერი, რისი მარშრუტიზაციაც შეუძლია.
ნაბიჯი 2: აირჩიეთ წყარო, რომელსაც შეუძლია დაინახოს ეს ზედაპირი
VPN-ის შიგნით მჯდომი სკანერი ვერ ამრავლებს არაავტორიზებულ ინტერნეტ დამკვირვებელს. მას უკვე აქვს მარშრუტები, რწმუნებები და ნებართვები, რომლებიც გარე დამკვირვებელს არ აქვს, ამიტომ მისი შედეგები აღწერს შემოშვების შემდგომ ხედს, თუნდაც სამიზნე ზედაპირი იგივე იყოს. საპირისპირო შეცდომაც ისევე გავრცელებულია. VPN პორტის საჯარო სკანირება თითქმის არაფერს ამბობს შესვლის უკან მდგარ კერძო სერვისზე და მისი ისე წარდგენა, თითქოს ამბობს, ერთი მიმართულებით აჭარბებს ზემოქმედებას, მეორეში კი ამცირებს.
გაჩერდით, თუ მოპოვებული წყარო არ შეესაბამება ზედაპირს. გვირაბის შიგნით პარტნიორიდან გაშვებული შეფასება არ უნდა წარდგეს ავტორიზაციამდე შედეგად და დამტკიცებულ გარე წყაროს მომთხოვნი ტესტი არ უნდა გადავიდეს ჩუმად შიგნით ქაღალდების თავის ასაცილებლად.
ნაბიჯი 3: დაადასტურეთ მარშრუტი და პასუხის გზა ტელეფონის გავლით
როცა მოწყობილობა სხვა ქვექსელში გადაამისამართებს, სკანერს სჭირდება დაშვებული მარშრუტი, ხოლო სამიზნეს — მოქმედი დაბრუნების გზა. დაადასტურეთ ორივე იმის ნაცვლად, რომ ჩათვალოთ ping-ის პასუხი სრულ გზად.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8წყაროს NAT ცვლის იმას, რასაც ქვედა დინების სერვისი ხედავს. თუ ტელეფონი თარგმნის სკანერის მისამართს, სამიზნის წვდომის წესები და ჟურნალები თარგმნილ მისამართზე ვრცელდება, ამიტომ სერვისი, რომელიც თითქოს გიღებთ, შესაძლოა ტელეფონს იღებდეს და არა სკანერს.
ყურადღება მიაქციეთ სკანერის საკუთარ ქსელთან გადაფარვასაც. თუ ტელეფონი მარშრუტიზებს 192.168.1.0/24-ს და სკანერი იმავე ნუმერაციის LAN-ზე ზის, ცდები ხვდება ლოკალურ მოწყობილობებს და ანგარიში მათ სამიზნედ აღწერს. ერთი პაკეტის გაგზავნამდე შეამოწმეთ ის მარშრუტი, რომელსაც თავად სკანერი გამოიყენებდა.
დასკანირეთ სამიზნის რეალური მისამართი და შეინარჩუნეთ ჰოსტის სახელი, რომელიც აპლიკაციას სჭირდება TLS იდენტობისა და ვირტუალური ჰოსტინგისთვის. კარიბჭემდე მიღწევა ადასტურებს, რომ კარიბჭე პასუხობს; ის არ ამოწმებს მის უკან მდგარ სერვისს.
ნაბიჯი 4: მოეპყარით აღმოჩენას როგორც ცდას დაშვებებით
ჰოსტების აღმოჩენა ის ადგილია, სადაც შეფასების შედეგები ყველაზე ხშირად ცდება. ლოკალური Ethernet აღმოჩენა არ კვეთს მარშრუტიზებულ VPN-ს, ამიტომ ბრტყელ LAN-ზე მომუშავე ცდები უბრალოდ არ აღწევს. დაბლოკილი აღმოჩენის ცდები შემდეგ ხელმისაწვდომ, ავტორიზებულ სერვისს არარსებულად აჩვენებს.
შეგნებულად გადაწყვიტეთ, გამოტოვოთ აღმოჩენა და ცნობილი მისამართები პირდაპირ დასკანიროთ, შემდეგ ეს ანგარიშში თქვით. პასუხისმგებელი პორტი არ არის VPN ავტორიზაციის წარმატების მტკიცებულება და გაფილტრული პასუხი არ არის მტკიცებულება, რომ არაფერი უსმენს. სიჩქარეც იმავე პრობლემის ნაწილია. სწრაფი სკანირების დროს შემზღუდავი ან პაკეტებს ყრის ტელეფონი ქმნის გაფილტრულ მდგომარეობებს, რომლებიც ტელეფონს ეკუთვნის და არა სერვისს, ამიტომ შეამცირეთ პარალელურობა და ხელახლა დასკანირეთ სანამ პორტს დახურულად ჩაწერთ.
გაჩერების პირობა აქ ინტერპრეტაციაა და არა ტექნიკა: თუ ვერ ამბობთ, რას ნიშნავს მდგომარეობა ამ გზისთვის, შედეგი დანართს ეკუთვნის და არა დასკვნებს.
ნაბიჯი 5: შეინარჩუნეთ ფანჯარა, შემდეგ დახურეთ
ტელეფონი ცუდი სერვერია, რადგან ძილისთვისაა შექმნილი. ენერგიის ოპტიმიზაციამ, doze-მ და Wi-Fi ენერგიის მართვამ შეიძლება აპლიკაცია შეაჩეროს შეფასების შუაში და გვირაბის ხელახალი დაკავშირება შეიძლება შეცვალოს მისამართი, რომელსაც სამიზნე იყენებს. ისეთი მოვლენის გადამკვეთი გაშვება ბათილ შედეგის ფანჯარას იღებს.
შეინარჩუნეთ კარიბჭის როლი ყველაზე მცირე არეში, რომელსაც დამტკიცებული დავალება იძლევა, დააკვირდით გვირაბს სანამ გაშვება ცოცხალია და ჩაწერეთ ყოველი მოხსენებული ფანჯრის დასაწყისი და დასასრული. როცა შეფასება დასრულდება, წაშალეთ დროებითი წვდომა მისი მფლობელის მეშვეობით, შეინახეთ წყაროსა და გზის ჩანაწერი და დაიცავით გამოსავალი, როგორც ნებისმიერი სხვა სატესტო არტეფაქტი.
თუ გჭირდებათ განმეორებადი დაკვირვების წერტილი და არა ერთჯერადი წარმატება, სწორედ ეს არის ის შედეგი, რომლის სასარგებლოდაც ღირს არგუმენტირება.ჰოსტების აღმოჩენის ცნობარი ხსნის, რომელი ცდები ვარაუდობს ლოკალურ სეგმენტს და სწორედ ეს დეტალი აქცევს ცარიელ შედეგს დასაცავ განცხადებად.