Déi richteg Observatiounspunkt fir en VPN-Scan op engem Telefon auswielen
Dem Telefon säi VPN-Listener, eng Servicer op dem Telefon an en gerouteten LAN-Host sinn dräi Flächen. Gitt dës fënnef Schrëtt duerch a stoppt do, wou den Ëmfang ophält.
Eng autoriséiert Bewäertung vun engem VPN, dee op engem Telefon gehost gëtt, fält stëll aus, wann de Scanner op der falscher Säit vum Tunnel sëtzt. Dir kritt Resultater, si gesinn plausibel aus, a si beäntweren eng Fro, déi keen gestallt huet. Gitt déi fënnef Kontrollen hei drënner der Rei no duerch. Jiddwereng huet eng Stoppbedingung, an et ass méi bëlleg fréi opzehalen wéi nom Rapport nach eng Kéier vun Null un ze testen.
Schrëtt 1: nennt d’Fläch, déi Dir wëllt erreechen
Dräi Fläche ginn dacks verwiesselt, well een eenzegt Gerät se verbënnt. Si lafen ënnerschiddlechen Code an ënnerschiddlech Politiken, dofir schreift virun allem wat Dir ufänkt op, wéi eng am Ëmfang ass.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
Wann den approuvéierten Ëmfang net seet, wéi eng vun den dräi, stoppt a frot. D’Telefon ze rooten beäntwert dës Fro net, an et ännert d’Saach, déi getest gëtt, statt den Observatiounspunkt.
Hält d’Ziler, déi erlaabt Quelladressen, d’Zäitfenster an d’Intensitéitsgrenz gläichzäiteg fest. Den Tunnel bréngt Iech bis an deen Ëmfang; hien erlaabt net, alles ze préifen, wat hie ka routeren.
Schrëtt 2: wählt d’Quell, déi déi Fläch ka gesinn
E Scanner, deen am VPN sëtzt kann en net-authentifizéierten Internetobservator net reproduzéieren. Hien huet schonn Trajets, Umeldungsdaten an Autorisatiounen, déi den äusseren Observator net huet, dofir beschreiwen seng Resultater d’Vue no der Zouloossung, och wann d’Zielfläch déiselwecht ass. De Géigendeel-Feeler ass just esou heefeg. En ëffentlechen Scan vum VPN-Port seet bal näischt iwwer e private Service hannert der Umeldung, an en esou ze presentéieren, wéi wann en et géif soen, iwwerschätzt d’Expositioun an déi eng Richtung an ënnerschätzt se an déi aner.
Stoppt, wann d’Quell, déi Dir kritt, net zu der Fläch passt. Eng Bewäertung, déi vun engem Peer am Tunnel lafe gelooss gëtt, soll net als Resultat virun der Authentifizéierung presentéiert ginn, an en Test, deen eng approuvéiert extern Quell verlaangt, soll net stëll no bannen geréckelt ginn, fir d’Pabeieraarbecht ze ëmgoen.
Schrëtt 3: bestätegt den Trajet an den Äntwertwee iwwer den Telefon
Wann den Apparat an en anert Subnetz weiderleet, brauch de Scanner en erlaabten Trajet an d’Zil en funktionéierenden Zréckwee. Bestätegt béides, amplaz ze unhuelen, eng Ping-Äntwert bedeit, den Wee wier komplett.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Source NAT ännert, wat de Service floss of gesäit. Wann den Telefon d’Adress vum Scanner iwwersetzt, gëllen d’Zougriffsregelen an d’Logbicher um Zil fir déi iwwersat Adress, dofir kann e Service, deen Iech ugeholl schéngt, den Telefon unhuelen an net de Scanner.
Passt och op eng Iwwerlaapung mam eegene Netz vum Scanner. Wann den Telefon 192.168.1.0/24 routert an de Scanner an engem LAN sëtzt, dee gläich nummeréiert ass, treffen d’Proben lokal Apparater an de Rapport beschreift se als Zil. Préift den Trajet, dee de Scanner selwer benotze géif, ier Dir eng eenzeg Pak sendet.
Scannt déi tatsächlech Adress vum Zil a behält den Hostnumm, deen d’Applikatioun fir TLS-Identitéit a virtuelle Hosting brauch. En Gateway z’erreechen beweist, datt de Gateway äntwert; et testt de Service hannendrun net.
Schrëtt 4: behandelt d’Entdecke wéi eng Prob mat Unhuelen
D’Hostentdecke ass de Punkt, wou d’Bewäertungsresultater am heefegsten schief goen. Lokal Ethernet-Entdecke kräizt keen gerouteten VPN, dofir kommen d’Proben, déi op engem flaache LAN funktionéieren, einfach net un. Blockéiert Entdeckungsproben loossen dann en erreechbare, autoriséierte Service als ofwiesend ausgesinn.
Entscheet bewosst, ob Dir d’Entdecke iwwersprangt an déi bekannt Adressen direkt scannt, a sot dat am Rapport. En Port, deen äntwert, ass kee Beweis, datt d’VPN-Authentifizéierung gegluckt ass, an eng gefiltert Äntwert ass kee Beweis, datt näischt lauschtert. D’Tempo ass Deel vum selwechte Problem. En Telefon, deen ënner engem schnelle Scan drosselt oder Pak verléiert, produzéiert gefiltert Zustänn, déi zum Telefon gehéieren an net zum Service, dofir reduzéiert d’Parallelitéit a scannt nach eng Kéier, ier Dir en Port als zou notéiert.
D’Stoppbedingung hei ass Interpretatioun, net Technik: wann Dir net ka sot, wat en Zoustand fir dësen Trajet bedeit, gehéiert d’Resultat an en Uschloss an net an d’Befenn.
Schrëtt 5: hält d’Fënster a schléisst se dunn
En Telefon ass e schlechte Server, well en zum Schlofe gebaut ass. Akku-Optimiséierung, Doze a Wi-Fi-Energiemanagement kënnen d’App mëttlerweil vun der Bewäertung aussetzen, an eng Widderverbindung vum Tunnel kann d’Adress änneren, déi d’Zil benotzt. En Laf, deen ee vun dësen Evenementer iwwerspaant, huet eng ongülteg Ergebnisfënster.
Hält d’Gateway-Roll an dem klengsten Ëmfang, deen déi approuvéiert Aufgab erlaabt, observéiert den Tunnel, wärend de Laf lieweg ass, a logt Ufank an Enn vun all Fënster, déi Dir bericht. Wann d’Bewäertung ophält, huelt den temporären Zougang iwwer säin Eegentemer ewech, behält de Quell- an Trajet-Record a schützt d’Ausgab wéi all anert Testartefakt.
Wann Dir en widderhuelbaren Observatiounspunkt braucht an net en eenzegt Erfolleg, ass dat déi Liwwerung, fir déi et sech lount ze argumentéieren.d’Referenz zum Hostentdecken erkläert, wéi eng Proben e lokale Segment unhuelen, an dat ass de Detail, deen en eidelt Resultat an eng verdeedegbar Ausso verwandelt.