Pasirinkite tinkamą stebėjimo tašką VPN skenavimui telefone
Telefono VPN klausytuvas, paslauga telefone ir maršrutizuotas LAN hostas yra trys paviršiai. Pereikite šiuos penkis žingsnius ir sustokite ten, kur baigiasi apimtis.
Telefone talpinamo VPN įgaliotas vertinimas tyliai nepavyksta, kai skaitytuvas sėdi netinkamoje tunelio pusėje. Gaunate rezultatus, jie atrodo patikimi ir atsako į klausimą, kurio niekas neuždavė. Pereikite penkis patikrinimus žemiau iš eilės. Kiekvienas turi sustabdymo sąlygą, o sustoti anksčiau pigiau nei po ataskaitos parašymo bandyti iš naujo nuo nulio.
1 žingsnis: įvardykite paviršių, kurį ketinate pasiekti
Trys paviršiai dažnai painiojami, nes juos jungia vienas įrenginys. Jie vykdo skirtingą kodą ir skirtingą politiką, todėl prieš ką nors pradedant užsirašykite, kuris yra apimtyje.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
Jei patvirtinta apimtis nepasako, kuris iš trijų, sustokite ir paklauskite. Telefono rootinimas į šį klausimą neatsako ir pakeičia bandomąjį dalyką, o ne stebėjimo tašką.
Vienu metu užrašykite tikslus, leidžiamus šaltinio adresus, laiko intervalą ir intensyvumo ribą. Tunelis nuveda jus į tą apimtį; jis nesuteikia licencijos tikrinti visko, ką gali maršrutizuoti.
2 žingsnis: pasirinkite šaltinį, kuris mato tą paviršių
Skaitytuvas, sėdintis VPN viduje negali atkurti neautentifikuoto interneto stebėtojo. Jis jau turi maršrutus, prisijungimo duomenis ir leidimus, kurių išorinis stebėtojas neturi, todėl jo rezultatai apibūdina vaizdą po priėmimo, net kai tikslinis paviršius tas pats. Priešinga klaida taip pat paplitusi. Viešas VPN prievado skenavimas beveik nieko nesako apie privatų servisą už prisijungimo, o pateikus jį taip, tarsi sakytų, poveikis viena kryptimi pervertinamas, o kita – nuvertinamas.
Sustokite, jei gaunamas šaltinis neatitinka paviršiaus. Vertinimas, atliktas iš partnerio tunelio viduje, neturi būti pateikiamas kaip rezultatas prieš autentifikaciją, o testas, kuriam reikia patvirtinto išorinio šaltinio, neturi būti tyliai perkeliamas į vidų, kad būtų išvengta popierizmo.
3 žingsnis: patvirtinkite maršrutą ir atsakymo kelią per telefoną
Kai įrenginys persiunčia į kitą potinklį, skaitytuvui reikia leidžiamo maršruto, o tikslui – veikiančio grįžimo kelio. Patvirtinkite abu, o ne manykite, kad ping atsakymas reiškia, jog kelias pilnas.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Šaltinio NAT keičia tai, ką mato tolesnė paslauga. Jei telefonas verčia skaitytuvo adresą, prieigos taisyklės ir žurnalai tiksle taikomi išverstam adresui, todėl paslauga, kuri tarsi jus priima, gali priimti telefoną, o ne skaitytuvą.
Atkreipkite dėmesį ir į persidengimą su paties skaitytuvo tinklu. Jei telefonas maršrutizuoja 192.168.1.0/24, o skaitytuvas yra tokiu pat būdu numeruotame LAN, zondai kliudo vietinius įrenginius, o ataskaita juos apibūdina kaip tikslą. Prieš išsiųsdami bent vieną paketą patikrinkite maršrutą, kurį naudotų pats skaitytuvas.
Skenuokite tikrąjį tikslo adresą ir išsaugokite pagrindinio kompiuterio vardą, kurio programai reikia TLS tapatybei ir virtualiajam hostingui. Pasiekti tinklų sietuvą įrodo, kad sietuvas atsako; tai netikrina jo užnugaryje esančios paslaugos.
4 žingsnis: traktuokite aptikimą kaip zondą su prielaidomis
Pagrindinių kompiuterių aptikimas yra vieta, kur vertinimo rezultatai dažniausiai klysta. Vietinis Ethernet aptikimas neperžengia maršrutizuoto VPN, todėl zondai, veikiantys plokščiame LAN, tiesiog neatvyksta. Užblokuoti aptikimo zondai tada pasiekiamą, įgaliotą paslaugą parodo kaip nesamą.
Sąmoningai nuspręskite, ar praleisti aptikimą ir skenuoti žinomus adresus tiesiogiai, ir tai pasakykite ataskaitoje. Atsakantis prievadas nėra įrodymas, kad VPN autentifikacija pavyko, o filtruotas atsakymas nėra įrodymas, kad niekas nesiklauso. Greitis yra tos pačios problemos dalis. Telefonas, kuris greito skenavimo metu riboja ar meta paketus, sukuria filtruotas būsenas, priklausančias telefonui, o ne paslaugai, todėl sumažinkite paralelumą ir prieš užrašydami prievadą kaip uždarą skenuokite dar kartą.
Sustabdymo sąlyga čia yra interpretacija, o ne technika: jei negalite pasakyti, ką būsena reiškia šiam keliui, rezultatas priklauso priedui, o ne išvadoms.
5 žingsnis: palaikykite langą, tada uždarykite jį
Telefonas yra prastas serveris, nes jis skirtas miegoti. Akumuliatoriaus optimizavimas, doze ir Wi-Fi energijos valdymas gali sustabdyti programą vertinimo viduryje, o tunelio pakartotinis prisijungimas gali pakeisti adresą, kurį naudoja tikslas. Vykdymas, apimantis vieną iš šių įvykių, turi negaliojantį rezultatų langą.
Laikykite sietuvo vaidmenį mažiausioje apimtyje, kurią leidžia patvirtinta užduotis, stebėkite tunelį, kol vykdymas gyvas, ir užrašykite kiekvieno pranešamo lango pradžią ir pabaigą. Pasibaigus vertinimui, pašalinkite laikiną prieigą per jos savininką, išsaugokite šaltinio ir kelio įrašą ir apsaugokite išvestį kaip bet kurį kitą testo artefaktą.
Jei jums reikia pakartojamo stebėjimo taško, o ne vienkartinės sėkmės, tai yra rezultatas, už kurį verta argumentuoti.nuoroda apie pagrindinių kompiuterių aptikimą paaiškina, kurie zondai daro prielaidą apie vietinį segmentą, ir būtent ši detalė paverčia tuščią rezultatą apginamu teiginiu.