Γιατί υπάρχει αυτό το μάθημα

Σε λίγες εβδομάδες θα κατεβάσεις σκόπιμα ευάλωτο λογισμικό στον υπολογιστή σου.

Αυτό είναι φυσιολογικό και απαραίτητο. Γίνεται επικίνδυνο μόνο αν το ευάλωτο μηχάνημα μπορεί
να μιλήσει σε δίκτυα που δεν σου ανήκουν — ή αν κάτι στο Internet μπορεί να μιλήσει σε αυτό.

Η απομόνωση δεν είναι καλή πρακτική. Είναι η προϋπόθεση για να έχεις δικαίωμα να συνεχίσεις.

Μαθησιακοί στόχοι

• Ρυθμίζει τον προσαρμογέα δικτύου της VM σε απομονωμένη λειτουργία και εξηγεί τι αλλάζει
• Αποδεικνύει με τεκμήρια ότι το εργαστήριο δεν έχει διαδρομή προς δίκτυα που δεν του ανήκουν
• Δημιουργεί, ονοματίζει και επαναφέρει snapshot, επιβεβαιώνοντας ότι η VM εκκινεί μετά
• Εκτελεί ενέργεια kill-switch και την περιγράφει γραπτά πριν τη χρειαστεί
• Κρίνει, βλέποντας ρυθμίσεις τρίτου, αν ένα εργαστήριο είναι απομονωμένο
• Εξηγεί γιατί το snapshot δεν είναι μέτρο ασφάλειας αλλά μέτρο ανάκτησης

Το L02 έθεσε την αρχή: δεν αγγίζεις σύστημα χωρίς εξουσιοδότηση από κάποιον που έχει
δικαίωμα να τη δώσει.

Το εργαστήριό σου είναι η πρώτη πρακτική εφαρμογή. Ένα ευάλωτο μηχάνημα με διαδρομή προς το
δίκτυο του σπιτιού, του εργοδότη ή του παρόχου σου παράγει κίνηση προς συστήματα που δεν σου
ανήκουν και δεν συναίνεσαν.

Τρεις περιπτώσεις που πρέπει να ονομαστούν, γιατί οι εκπαιδευόμενοι τις θεωρούν αθώες:

• Εταιρικό δίκτυο. Εργαστήριο σε φορητό εργασίας, συνδεδεμένο στο δίκτυο του εργοδότη. Η
  κίνηση φαίνεται στα συστήματα παρακολούθησης — ως πραγματική επίθεση, από τον υπάλληλο.
• Δίκτυο ενοικιαζόμενου. Κοινόχρηστο Wi-Fi φοιτητικής εστίας ή πολυκατοικίας. Ο εξοπλισμός
  δεν σου ανήκει και οι γείτονες δεν συναίνεσαν.
• Δίκτυο επισκέπτη. Το «guest» δεν σημαίνει «δικό μου».

Οι απαιτήσεις χώρου δεν είναι υπερβολικές: τα snapshots καταλαμβάνουν χώρο, και θα κρατάς
περισσότερα από ένα.

Σύντομο primer. Η γενική θεωρία δικτύων είναι το L08· εδώ χρειάζεσαι μόνο όσο αρκεί για
να κρίνεις την απομόνωση.

Ο προσαρμογέας δικτύου μιας VM είναι εικονικός. Ο hypervisor αποφασίζει σε τι είναι
συνδεδεμένος. Τρεις βασικές επιλογές:

Bridged — η VM γίνεται κανονικό μηχάνημα του δικτύου σου

Ο εικονικός προσαρμογέας συνδέεται απευθείας στο φυσικό σου δίκτυο. Η VM παίρνει διεύθυνση από
τον δρομολογητή σου, όπως το τηλέφωνό σου. Είναι ορατή στους γείτονες του δικτύου και μπορεί να
τους δει.

NAT — η VM βγαίνει έξω, αλλά δεν τη βρίσκουν

Η VM μοιράζεται τη σύνδεση του host μέσω μετάφρασης διευθύνσεων. Μπορεί να ξεκινήσει σύνδεση
προς τα έξω· εξωτερικά συστήματα δεν μπορούν να ξεκινήσουν σύνδεση προς αυτήν.

Χρήσιμο για ενημερώσεις. Δεν είναι απομόνωση: υπάρχει διαδρομή προς τα έξω.

Host-only — κλειστό δίκτυο host και guest

Δημιουργείται εικονικό δίκτυο στο οποίο συμμετέχουν μόνο ο host και οι VMs. Καμία διαδρομή
προς το φυσικό δίκτυο.

Αυτή είναι η λειτουργία του εργαστηρίου.

Η παρανόηση που πρέπει να λυθεί τώρα

Host-only δεν σημαίνει host-isolated.

Σε host-only, η VM μπορεί ακόμη να επικοινωνήσει με τον host σου — και ο host μαζί της. Αν
τρέχεις υπηρεσίες στον host, είναι προσβάσιμες από το ευάλωτο μηχάνημα.

Το ίδιο ισχύει μεταξύ VMs στο ίδιο host-only δίκτυο: βλέπουν η μία την άλλη. Αυτό συνήθως
το θέλεις — έτσι επιτίθεσαι στον στόχο σου. Πρέπει όμως να το ξέρεις, όχι να το ανακαλύψεις.

⧗ ΑΠΑΙΤΕΙ ΕΠΑΛΗΘΕΥΣΗ — αν ο συγκεκριμένος hypervisor και έκδοση επιτρέπει κίνηση host↔guest
και guest↔guest πρέπει να δηλωθεί ρητά ανά προϊόν, από την τεκμηρίωση του κατασκευαστή.

   ┌─────────────────────────── Ο ΥΠΟΛΟΓΙΣΤΗΣ ΣΟΥ (host) ───────────────────────────┐
   │                                                                                │
   │   ┌────────────────── εικονικό δίκτυο (host-only) ──────────────────┐          │
   │   │                                                                 │          │
   │   │    ┌──────────────┐              ┌──────────────┐               │          │
   │   │    │  Kali (VM)   │ ←──────────→ │  Στόχος (VM) │               │          │
   │   │    │  επιτιθέμενος│              │   ευάλωτος   │               │          │
   │   │    └──────────────┘              └──────────────┘               │          │
   │   │            ↑                                                    │          │
   │   └────────────┼────────────────────────────────────────────────────┘          │
   │                │  host ↔ guest: ΕΠΙΤΡΕΠΕΤΑΙ — να το θυμάσαι                     │
   │                ↓                                                               │
   │        [ ο host σου, με τα πραγματικά σου αρχεία ]                              │
   └────────────────────────────────────────────────────────────────────────────────┘
                                      ╳
                    καμία διαδρομή προς: δρομολογητή, Internet,
                    εταιρικό δίκτυο, γείτονες, οτιδήποτε άλλο

Αν κάποια στιγμή δεν μπορείς να σχεδιάσεις αυτό το διάγραμμα για το δικό σου εργαστήριο,
δεν ξέρεις αν είναι απομονωμένο.

Η διαδικασία διαφέρει ανά προϊόν και έκδοση. ⧗ ΑΠΑΙΤΕΙ ΕΠΑΛΗΘΕΥΣΗ — οι ακριβείς διαδρομές
τεκμηριώνονται ανά υποστηριζόμενο προϊόν σε ονομασμένη έκδοση.

Ανεξάρτητα από προϊόν, το αποτέλεσμα που πρέπει να επαληθεύσεις είναι σταθερό:

1. Ο προσαρμογέας της VM είναι σε host-only ή ισοδύναμη απομονωμένη λειτουργία
2. Δεν υπάρχει δεύτερος ενεργός προσαρμογέας. Άνοιξε κάθε υποδοχή, μη σταματήσεις στην
   πρώτη — ένας ξεχασμένος δεύτερος προσαρμογέας σε NAT ακυρώνει τα πάντα
3. Δεν υπάρχει προώθηση θυρών προς τη VM
4. Δεν υπάρχει κοινόχρηστος φάκελος με δικαίωμα εγγραφής, εκτός αν τον χρειάζεσαι συνειδητά

Ποτέ: μην απενεργοποιήσεις το τείχος προστασίας ή το λογισμικό ασφαλείας του host «για να
δουλέψει το εργαστήριο». Αν κάτι δεν δουλεύει, το πρόβλημα είναι η διαμόρφωση.

Τι είναι

Στιγμιότυπο της κατάστασης της VM που μπορείς να επαναφέρεις.

Τι δεν είναι

Δεν κάνει ασφαλή μια επικίνδυνη ενέργεια. Δεν αναιρεί κίνηση που έφυγε από το μηχάνημα. Δεν
ανακαλεί δεδομένα που στάλθηκαν. Επαναφέρει μόνο την κατάσταση του δίσκου και της μνήμης
της VM.

Αν σκέφτεσαι «θα το δοκιμάσω, έχω snapshot», η ερώτηση δεν είναι αν θα επανέλθει η VM. Είναι
τι θα έχει ήδη φύγει προς τα έξω μέχρι να την επαναφέρεις.

Ονοματοδοσία

Ένα snapshot που λέγεται snapshot1 είναι άχρηστο σε τρεις μήνες. Χρησιμοποίησε:

YYYY-MM-DD-<κατάσταση>-<τι άλλαξε>
2026-08-04-clean-base-after-updates
2026-08-04-pre-vulnapp-install

Η επαναφορά δεν είναι προαιρετική

Ένα snapshot που δεν δοκιμάστηκε είναι υπόθεση, όχι αντίγραφο.

Κάνε τώρα, όσο δεν έχεις τίποτα να χάσεις:

1. Δημιούργησε snapshot καθαρής κατάστασης
2. Άλλαξε κάτι ορατό στη VM — ένα αρχείο στην επιφάνεια εργασίας
3. Επανάφερε
4. Επιβεβαίωσε ότι η VM εκκινεί και ότι η αλλαγή εξαφανίστηκε
5. Σημείωσε την ώρα σε UTC

Το βήμα 4 είναι ο λόγος που υπάρχει η άσκηση. Μια VM που δεν εκκινεί μετά την επαναφορά είναι
συνηθέστερη απ’ όσο νομίζεις.

⚠ Η παγίδα που θα σε πιάσει: το snapshot επαναφέρει και τη διαμόρφωση

Δοκιμάστηκε σε πραγματική VM και συνέβη ακριβώς αυτό:

1. Πάρθηκε snapshot όσο ο προσαρμογέας ήταν ακόμη σε NAT
2. Ο προσαρμογέας μετακινήθηκε σε host-only· η απομόνωση επαληθεύτηκε — καμία προεπιλεγμένη
   διαδρομή
3. Έγινε ένα λάθος· επαναφορά του snapshot
4. Η VM εκκίνησε κανονικά, το αρχείο-δείκτης είχε εξαφανιστεί — η επαναφορά δούλεψε

Και μετά:

enp0s3  UP  10.0.2.15/24
default via 10.0.2.2 dev enp0s3

Η απόδειξη απομόνωσης που υπέβαλες έπαψε να ισχύει τη στιγμή της επαναφοράς, χωρίς να το
μάθεις. Είναι ο συγκεκριμένος μηχανισμός με τον οποίο γίνεται ψευδής η §12.

Ο κανόνας:

Μία ενέργεια, που τη γνωρίζεις πριν τη χρειαστείς, και σταματά κάθε κίνηση του εργαστηρίου.

Δεν είναι σχέδιο· είναι κίνηση. Αν χρειάζεται να σκεφτείς τι να κάνεις, δεν έχεις
kill-switch.

Αποδεκτές μορφές, κατά σειρά προτίμησης:

Να το γράψεις. Μία παράγραφος, στις σημειώσεις σου, με το ακριβές όνομα του μενού ή της
εντολής στο δικό σου σύστημα. Και να το εκτελέσεις μία φορά για να ξέρεις τι συμβαίνει.

Αυτό συνδέεται άμεσα με τις συνθήκες διακοπής του L03 §3: εκεί έμαθες πότε σταματάς·
εδώ αποκτάς τον τρόπο.

Αυτό είναι το τεκμήριο αποφοίτησης L0. Είναι επίσης το πρώτο σου evidence pack, και
ακολουθεί το EVIDENCE-TEMPLATE v1 του L24. Δεν είναι σύμπτωση: το πρώτο πράγμα που
τεκμηριώνεις είναι το ίδιο σου το εργαστήριο.

Ο προφανής τρόπος να «αποδείξεις ότι δεν έχεις Internet» είναι να στείλεις κάτι σε γνωστό
δημόσιο σύστημα και να δείξεις ότι αποτυγχάνει.

Η δοκιμή που θα έδειχνε ότι είσαι ασφαλής είναι η ίδια που σε εκθέτει αν δεν είσαι. Αυτό είναι
το είδος συλλογισμού που πρέπει να κάνεις σε ολόκληρη την καριέρα σου.

Τι υποβάλλεις αντ’ αυτού

Πρωτεύον — επιθεώρηση πίνακα δρομολόγησης. Δείξε τον πίνακα δρομολόγησης του guest.
Απουσία προεπιλεγμένης διαδρομής σημαίνει ότι δεν υπάρχει πού να σταλεί κίνηση εκτός του
host-only υποδικτύου. Δεν φεύγει πακέτο.

Δευτερεύον — προορισμός δεσμευμένος για τεκμηρίωση. Αν χρειάζεται ενεργητική επίδειξη,
χρησιμοποίησε διεύθυνση από τα εύρη που είναι δεσμευμένα για τεκμηρίωση και δεν πρέπει να
δρομολογούνται στο δημόσιο Internet. Δεν υπάρχει τρίτος να τον αγγίξεις.

Επαληθευμένο, από πραγματική VM

Debian 13 σε VirtualBox 7.2.8, προσαρμογέας σε host-only vboxnet0:

enp0s3  UP  192.168.56.101/24
192.168.56.0/24 dev enp0s3 proto dhcp scope link src 192.168.56.101
-> καμία προεπιλεγμένη διαδρομή

Και οι τρεις δοκιμές της §9:

προς δεσμευμένη διεύθυνση εκτός υποδικτύου : ping: connect: Network is unreachable
προς τον host στο host-only                : 1 received
όνομα που χρειάζεται Internet              : cannot resolve

Η πρώτη γραμμή είναι άμεση, όχι λήξη χρόνου — και αυτό ακριβώς αποδεικνύει την απομόνωση.
Η δεύτερη είναι ο θετικός έλεγχος: αν δεν απαντούσε ούτε ο host, η δοκιμή δεν θα σήμαινε
τίποτα.

Και εδώ είναι το πραγματικό δίδαγμα — η μορφή της αποτυχίας μετράει, όχι το ότι απέτυχε:

Δύο αποτυχίες που μοιάζουν ίδιες στον αρχάριο σημαίνουν το αντίθετο η μία από την άλλη.

Τίμια δήλωση: και οι δύο μέθοδοι αποδεικνύουν διαμόρφωση, όχι διαρκή αποτέλεσμα. Στο
manifest πρέπει να γράψεις ακριβώς αυτό. Το L24 §2 εξηγεί γιατί η υπερδήλωση σε τεκμήριο
είναι χειρότερη από την έλλειψη τεκμηρίου.

Δύο συμμετρικές αποτυχίες — και οι δύο είναι αποτυχίες:

Καμία συνδεσιμότητα, ούτε προς τον host. Η VM δεν βλέπει τίποτα. Έλεγξε ότι ο προσαρμογέας
είναι συνδεδεμένος, ότι το host-only δίκτυο υπάρχει στον hypervisor, και ότι η διεπαφή του
guest είναι ενεργή. Η VM πρέπει να μπορεί να δει τον host και τις άλλες VMs.

Υπερβολική συνδεσιμότητα. Η VM φτάνει στο Internet. Υπάρχει δεύτερος προσαρμογέας, ή ο
πρώτος δεν είναι σε host-only. Σταμάτα τη VM πριν συνεχίσεις τη διάγνωση — κάθε λεπτό που
τρέχει παράγει κίνηση που δεν εγκρίθηκε.

Η δεύτερη περίπτωση είναι η επικίνδυνη, και είναι αυτή που οι εκπαιδευόμενοι δεν αναφέρουν
γιατί «δούλεψε».

Τίμια όρια — και μέρος της βαθμολόγησης:

• Αποδεικνύει διαμόρφωση σε δεδομένη στιγμή, όχι διαρκή κατάσταση. Μια αλλαγή αύριο την
  ακυρώνει
• Δεν αποδεικνύει ότι η VM είναι ασφαλής — αποδεικνύει ότι είναι περιορισμένη
• Δεν καλύπτει κίνηση εκτός δικτύου: κοινόχρηστους φακέλους, πρόχειρο, μεταφορά αρχείων
  drag-and-drop, συσκευές USB
• Δεν αποδεικνύει ότι ο host είναι ασφαλής απέναντι στη VM

Ο σωστός τρόπος να το γράψεις στο manifest: «Τα τεκμήρια δείχνουν ότι η διαμόρφωση δικτύου
στις [ώρα UTC] δεν παρείχε διαδρομή εκτός του host-only υποδικτύου.» Όχι «το εργαστήριο είναι
απομονωμένο».

Μέρος Α — φτιάξε το. Ρύθμισε το εργαστήριο κατά τις §5–§7 και παρήγαγε τα P1–P5 και το
manifest της §8, σε δομή EVIDENCE-TEMPLATE v1 (L24 §1).

Μέρος Β — κρίνε ξένο. Δίνονται τρεις διαμορφώσεις τρίτων. Για καθεμία: απομονωμένο ή
όχι, και από ποιο ακριβώς στοιχείο το συμπεραίνεις.

1. Προσαρμογέας 1 σε host-only. Προσαρμογέας 2 ενεργός, σε NAT. Ο μαθητής γράφει
   «απομονωμένο, host-only».
2. Ένας μόνο προσαρμογέας σε host-only. Ο πίνακας δρομολόγησης δείχνει προεπιλεγμένη διαδρομή
   προς διεύθυνση εκτός του host-only υποδικτύου.
3. Ένας προσαρμογέας σε host-only, καμία προεπιλεγμένη διαδρομή. Ενεργός κοινόχρηστος φάκελος
   με δικαίωμα εγγραφής προς τον host.

Πώς βαθμολογείται

Άμεση αποτυχία: οποιαδήποτε δοκιμή P3 προς δημόσιο σύστημα τρίτου — ανεξάρτητα από την
ποιότητα των υπολοίπων. Είναι ακριβώς η συμπεριφορά που το μάθημα υπάρχει για να αποτρέψει.

Το L06 συνεισφέρει ≈5 από 40 ερωτήματα στο FA-PILOT-1: συνέπειες κάθε λειτουργίας
δικτύου, σημασιολογία snapshot, και ένα υποχρεωτικό ερώτημα κρίσης που παρουσιάζει
διαμόρφωση και ζητά απόφαση απομόνωσης — ο στόχος 5, δοκιμασμένος άμεσα.

Αποφάσεις που πάρθηκαν γράφοντας το μάθημα — τεκμηριώνονται στο docs/DECISIONS.md:

• Σειρά L06/L08: το L06 περιέχει αυτοτελές primer (§3) και παραπέμπει στο L08 για τη
  γενική θεωρία. Δεν αναδιατάσσεται η δομή των modules.
• Μέθοδος P3: πρωτεύουσα η επιθεώρηση πίνακα δρομολόγησης· η διάκριση «καμία διαδρομή» από
  «λήξη χρόνου» είναι το διδακτικό σημείο. Καμία δοκιμή προς σύστημα τρίτου, σε καμία μορφή.