Утасны VPN сканд тохирох ажиглалтын цэгийг сонгох
Утасны VPN сонсогч, утас дээрх үйлчилгээ, маршрутлагдсан LAN хост нь гурван гадаргуу юм. Эдгээр таван алхмыг дараалан хийж, хамрах хүрээ дуусах газарт зогсоно уу.
Утас дээр байрлуулсан VPN-ийн зөвшөөрөгдсөн үнэлгээ нь сканнер туннелийн буруу талд суух үед чимээгүйхэн бүтэлгүйтдэг. Үр дүн гардаг, тэдгээр нь үнэмшилтэй харагдаж, хэн ч асуугаагүй асуултад хариулдаг. Доорх таван шалгалтыг дараалан хий. Тус бүр зогсох нөхцөлтэй бөгөөд тайлан бичсэний дараа тэгээс дахин туршихыг бодвол эрт зогсох нь хямд.
Алхам 1: хүрэхийг зорьж буй гадаргуугаа нэрлэ
Гурван гадаргууг нэг төхөөрөмж холбодог учраас байнга андуурдаг. Тэд өөр код, өөр бодлого ажиллуулдаг тул юу ч эхлэхийн өмнө алин нь хамрах хүрээнд байгааг бич.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
Хэрэв зөвшөөрөгдсөн хамрах хүрээ гурвын алийг нь хэлэхгүй бол зогсоод асуу. Утсыг root хийх нь энэ асуултад хариулахгүй бөгөөд ажиглалтын цэгийг бус шалгаж буй зүйлийг өөрчилдөг.
Зорилтуудыг, зөвшөөрөгдсөн эх хаягуудыг, хугацааны цонхыг, эрчим хүчний хязгаарыг нэгэн зэрэг бич. Туннель чамайг тэр хүрээ хүртэл хүргэдэг; энэ нь маршрутлаж чадах бүхнийг шалгах зөвшөөрөл өгдөггүй.
Алхам 2: тэр гадаргууг харж чадах эх сурвалжийг сонго
VPN-ийн дотор сууж буй сканнер баталгаажаагүй интернэт ажиглагчийг дахин үүсгэж чадахгүй. Түүнд гадаад ажиглагчид байхгүй маршрут, нэвтрэх мэдээлэл, зөвшөөрөл аль хэдийн бий тул зорилтот гадаргуу ижил байсан ч түүний үр дүн хүлээн авсны дараах харагдацыг тодорхойлдог. Эсрэг алдаа мөн адил түгээмэл. VPN портын нээлттэй скан нь нэвтрэх хуудасны цаана байгаа хувийн үйлчилгээний талаар бараг юу ч хэлдэггүй бөгөөд үүнийг хэлж байгаа мэт танилцуулах нь нэг чиглэлд нөлөөллийг хэтрүүлж, нөгөө чиглэлд дутуу үнэлдэг.
Хэрэв олж авсан эх сурвалж гадаргуутай тохирохгүй бол зогсоо. Туннелийн доторх хамтрагчаас хийсэн үнэлгээг нэвтрүүлэлтийн өмнөх үр дүн гэж танилцуулж болохгүй бөгөөд зөвшөөрөгдсөн гадаад эх сурвалж шаардсан туршилтыг бичиг цаасаас зайлсхийх үүднээс чимээгүйхэн дотогш зөөж болохгүй.
Алхам 3: утсаар дамжих маршрут ба хариу замыг батал
Төхөөрөмж өөр дэд сүлжээ рүү дамжуулах үед сканнерд зөвшөөрөгдсөн маршрут, зорилтод ажилладаг буцах зам хэрэгтэй. ping-ийн хариу зам бүрэн гэсэн үг гэж үзэхийн оронд хоёуланг нь батал.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Эх NAT нь дараагийн үйлчилгээ юу харахыг өөрчилдөг. Хэрэв утас сканнерийн хаягийг хөрвүүлбэл зорилт дахь нэвтрэх дүрэм, бүртгэл нь хөрвүүлсэн хаягт хамаарна, тул таныг хүлээн авч байгаа мэт санагдах үйлчилгээ сканнерийг бус утсыг хүлээн авч байж магадгүй.
Сканнерийн өөрийн сүлжээтэй давхцлыг ч анхаар. Хэрэв утас 192.168.1.0/24-г маршрутлаж, сканнер ижил аргаар дугаарлагдсан LAN дээр байвал шалгах оролдлогууд локал төхөөрөмжүүдэд хүрч, тайлан тэдгээрийг зорилт гэж тодорхойлдог. Нэг ч пакет илгээхийн өмнө сканнер өөрөө ашиглах маршрутыг шалга.
Зорилтын бодит хаягийг скан хийж, програмад TLS таних ба виртуал хостингд шаардлагатай хостын нэрийг хадгал. Гарц хүрэх нь гарц хариулж байгааг нотолдог; энэ нь түүний ард байгаа үйлчилгээг шалгахгүй.
Алхам 4: илрүүлэлтийг таамаглал бүхий шалгалт гэж үз
Хост илрүүлэлт нь үнэлгээний үр дүн хамгийн ихээр буруу гардаг газар юм. Локал Ethernet илрүүлэлт нь маршрутлагдсан VPN-ийг давахгүй тул хавтгай LAN дээр ажилладаг оролдлогууд ердөө л хүрдэггүй. Хаагдсан илрүүлэлтийн оролдлогууд дараа нь хүрч болох, зөвшөөрөгдсөн үйлчилгээг байхгүй мэт харуулдаг.
Илрүүлэлтийг алгасаж, мэдэгдэж буй хаягуудыг шууд скан хийх эсэхээ ухамсартайгаар шийдэж, үүнийг тайланд бич. Хариулж буй порт нь VPN нэвтрүүлэлт амжилттай болсны нотолгоо биш, шүүгдсэн хариу нь юу ч сонсогдохгүй байгаагийн нотолгоо биш. Хурд нь мөн адил асуудлын нэг хэсэг. Хурдан скан хийх үед хязгаарлаж эсвэл пакет хаядаг утас нь үйлчилгээнд бус утсанд хамаарах шүүгдсэн төлөв үүсгэдэг тул зэрэгцээ байдлыг бууруулж, портыг хаалттай гэж бүртгэхийн өмнө дахин скан хий.
Энд зогсох нөхцөл нь техник бус тайлбар юм: хэрэв энэ замд төлөв ямар утгатайг хэлж чадахгүй бол үр дүн нь дүгнэлтэд бус хавсралтад хамаарна.
Алхам 5: цонхыг бариад дараа нь хаа
Утас нь унтах зориулалттай учраас муу сервер юм. Батарейн оновчлол, doze, Wi-Fi-ийн эрчим хүчний менежмент нь үнэлгээний дунд програмыг түр зогсоож болох бөгөөд туннелийн дахин холболт нь зорилтын ашигладаг хаягийг өөрчилж болно. Ийм үйл явдлыг дамнасан ажиллагаа хүчингүй үр дүнгийн цонхтой байдаг.
Гарцын үүргийг зөвшөөрөгдсөн ажил зөвшөөрсөн хамгийн бага хүрээнд бариад, ажиллагаа амьд байх хугацаанд туннелийг ажиглаж, тайлагнасан цонх бүрийн эхлэл ба төгсгөлийг бүртгэ. Үнэлгээ дуусахад түр нэвтрэх эрхийг эзэмшигчээр нь устгаж, эх сурвалж ба замын бүртгэлийг хадгалж, гаралтыг бусад туршилтын артефакт шиг хамгаал.
Хэрэв танд нэг удаагийн амжилт бус давтагдах боломжтой ажиглалтын цэг хэрэгтэй бол түүний төлөө маргах нь зүйтэй.хост илрүүлэлтийн лавлагаа нь алийн оролдлогууд локал сегментийг таамагладаг болохыг тайлбарладаг бөгөөд хоосон үр дүнг хамгаалах боломжтой мэдэгдэл болгон хувиргадаг нарийн ширийн зүйл нь энэ юм.