Nessus через VPN: где должен находиться сканер до первого сканирования

Значок VPN рядом с браузером ничего не говорит о процессе, который отправляет пакеты сканирования. Если консоль и сканер работают на разных хостах, туннель браузера — это один путь, а источник сканирования — другой. Начните с точки выполнения, затем двигайтесь наружу: маршрут, авторизация и учётные данные. Это различие стоит первым пунктом в списке не случайно.

Это список проверок перед запуском, а не учебник по сканированию. Каждый шаг даёт факт, который можно занести в запись о работе до того, как хоть один пакет покинет сканер.

Проверка первая: найдите процесс, который отправляет зонды

Явно нарисуйте три роли: браузер на ноутбуке A, консоль сканирования на хосте B и закрытая цель C. Если на B также работает движок сканирования, браузеру нужен только путь к B. Если работу выполняет отдельное устройство сканирования, этому устройству нужен путь к C.

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

Браузер, подключённый к VPN, может достигать консоли, пока сканер за ней всё ещё не имеет маршрута к C. Возможно и обратное: сканер находится внутри частной сети, а консоль удалена. Выясните, какая схема у вас на самом деле, прежде чем менять сетевые настройки. Укажите устройство в конфигурации сканирования, прежде чем винить сеть.

Если сканер работает на A, хост браузера и сканер делят контекст, но только пока этот процесс сохраняет то же пространство имён и ту же таблицу маршрутизации. Контейнер или служебная учётная запись могут не наследовать то, что видит интерактивный браузер. Консоль — это интерфейс управления, а не движок сканирования.

Проверка вторая: докажите маршрут и DNS сканера

Выполняйте проверку маршрута на хосте сканера, а не на ноутбуке. Спросите ядро, какой интерфейс и шлюз оно использует для адреса цели, затем повторите для имени хоста цели. Маршрут, существующий для IP, и имя, разрешающееся в другой адрес, — это две разные неисправности.

Подтвердите адрес источника, который появится у цели. VPN-клиент может выдать адрес, отличный от ожидаемого межсетевым экраном цели, а устройство NAT может переписать его ещё раз. Владельцу цели нужен наблюдаемый источник, а не адрес, напечатанный в профиле VPN.

Проверьте и обратный путь. Сканер, который достигает цели, но не получает ответов, имеет проблему маршрутизации или межсетевого экрана на обратном пути, и это выглядит точно так же, как недоступная цель.

Проверка третья: согласуйте область и точку обзора

Попросите владельца цели письменно указать системы, сервисы, среду, источник и временное окно. Решите, какую точку обзора представляет оценка: внешний пользователь VPN, допущенный внутренний клиент или конкретный сегмент сканера.

Частный маршрут не даёт права тестировать смежные сети. Держите список целей узким, перечислите исключённые системы и согласуйте условия остановки и контакт, который может прервать работу. Сканер охотно проверяет всё, до чего может дотянуться, и именно поэтому область должна быть явной.

Запишите утверждённый источник в том же документе. Если наблюдаемый источник сканера отличается от утверждённого, запуск не представляет согласованную точку обзора, даже когда список целей верен.

Проверка четвёртая: сопоставьте учётные данные с глубиной оценки

Проверка доступности и аутентифицированная оценка — разные тесты. Ответ порта доказывает, что что-то ответило; он не доказывает, что проверки с учётными данными выполнялись или что приложение авторизовало учётную запись.

Используйте выделенные учётные данные, только когда согласованная область требует аутентифицированных проверок. Подтвердите права учётной записи и политику блокировки и решите, как результаты будут храниться и передаваться, до того как сканирование их создаст.

Если учётные данные не сработали, не переходите молча к неаутентифицированному запуску и не называйте отчёт запланированной оценкой. Результат — другой тест с другим смыслом, и это различие должно быть в отчёте.

Проверка пятая: сохраните план, затем запускайте осознанно

В рабочем процессе сканирования Nessus выбор шаблона, настройка параметров и сохранение или запуск сканирования — отдельные шаги. Используйте это разделение, чтобы проверить список целей, источник и расписание до начала любого трафика.

Прежде чем разрешить запуск, проверьте, какой источник допускает VPN, какой трафик он несёт и как восстанавливается после падения туннеля. Не расширяйте доступ через межсетевой экран только потому, что предварительное подключение не удалось; найдите уровень, который отказал, и исправьте его.

После запуска запишите хост сканера, наблюдаемый источник, список целей и все проверки, которые не удалось завершить. Отчёт, сделанный из другого источника или без предусмотренных учётных данных, не представляет исходный план, и сказать об этом — часть результата.

Отзовите доступ для работы и обращайтесь с сохранёнными результатами по согласованному процессу. Список проверок завершён только тогда, когда доказательства соответствуют одобренному пути, а не тогда, когда сканирование просто вернуло результаты.