Hoe om IPsec-toestand na te gaan sonder om sy sleutels te publiseer

’n IPsec-toestandstorting is nie ’n statusverslag nie, en om dit as een te behandel, is hoe sleutelmateriaal in ’n openbare kwessie-opsporing beland. Sommige kern-inspeksie-uitsette sluit die verkeersleutels in wat die kern gebruik, saam met adresse, keurders en tellers wat werklik nuttig is. Die veilige gewoonte is om eers die opsomming in te samel en eers na die rou toestand te gryp wanneer die opsomming nie die vraag kan antwoord nie. As jy na die rou toestand moet kyk, kyk plaaslik en deel iets nouer.

Kontrole 1: kan hierdie artefak hoegenaamd die masjien verlaat

’n Konfigurasielêer, ’n private sleutel, ’n onbeperkte pakketopname en ’n rou toestandstorting is almal geheime tot die teendeel bewys word. ’n Opdrag wat sleutels druk, word nie veilig gemaak deur die feit dat jy dit vir diagnostiek uitgevoer het nie.

Die reël is eenvoudig genoeg om in een sin te stel: deel die waarneming wat die vraag beantwoord, nie die masjientoestand wat dit voortgebring het nie.

Kontrole 2: kies die opsommingsopdrag, nie die toestandstorting nie

Vir strongSwan wys swanctl --list-sas die assosiasie-opsomming: identiteite, geïnstalleerde child SA’s, toestande en tellers. Dit vereis nie die rou sleutelstorting nie, en dit is die eerste ding wat jy in ’n kaartjie plak. Aan die kernkant ondersteun iproute2 ip xfrm state list nokeys op weergawes wat die opsie dokumenteer, wat sleutelmateriaal onderdruk terwyl die assosiasievelde behou word.

Bevestig die sintaksis in die plaaslike handleiding voordat jy daarop staatmaak, want die opsie is nie in elke uitgawe teenwoordig nie, en ’n algemene toestandlys sonder dit is ’n ander opdrag met ander uitset. Om ip xfrm state op ’n ou bou te laat loop om te sien of die vlag bestaan, is juis die fout waaroor hierdie kontrolelys gaan.

Kontrole 3: teken net aan wat die ondersoek nodig het

Assosiasie-status, algoritmes, keurders, tydstempels, rigting en die relevante tellers is gewoonlik genoeg. Rekening-identiteite, openbare adresse en interne topologie is dikwels nie, en hulle kan geredigeer word sonder om diagnostiese waarde te verloor.

Redigeer by verstek en voeg op versoek terug. Die persoon wat jou kaartjie lees, kan om nog een veld vra; hy kan nie ’n geplakte sleutel ongesien maak nie.

Daar is ’n middelweg wat die moeite werd is om te ken: ’n opsomming kan steeds sensitief wees. Identiteite, eweknie-adresse en kindname beskryf jou topologie, en in sommige organisasies is dit self beperkte inligting. Besluit wie die gehoor is voordat jy plak, en verkies ’n kanaal met die regte toegangsbeheer bo ’n openbare kwessie. ’n Veilige opdrag is nie dieselfde as ’n veilige bestemming nie.

Kontrole 4: korreleer een poging oor beide kante

Teken die kliënt en die poort vir dieselfde verbindingspoging op, op dieselfde tydstip, en maak seker die assosiasie wat jy beskryf is die een wat daardie poging opgelewer het. Om ’n verouderde kind SA van ’n vroeëre poging met ’n vars roete-momentopname te meng, lewer ’n verslag wat intern konsekwent en heeltemal misleidend is.

Identifiseer die assosiasie aan sy unieke identifiseerders eerder as aan die tonnel, en let op die rigting van die mislukking. As die simptoom geen verkeer in een rigting is nie, sê watter rigting en sluit ’n skadelose toetsbestemming in, sodat die leser oor die pad kan redeneer in plaas van te raai. ’n Teller wat nul in een rigting is en styg in die ander lokaliseer die probleem baie beter as enige sleutelstorting. Hou die tydstempels in een tydsone en sê watter een.

Kontrole 5: wat om te doen as materiaal reeds blootgestel is

Om die aanhegsel te verwyder, bewys nie dat niemand dit gehou het nie, en ’n openbare plak word vinnig gekopieer.

Behandel dit as ’n voorval en gebruik die operateur se vervangingsproses: roteer die geaffekteerde sleutels of geloofsbriewe, kyk of die blootstelling ’n wyer kompromie inhou, en volg watter kennisgewingpad ook al van toepassing is. Die tegniese opruiming is die maklike deel; die aanname dat niemand dit gelees het nie, is die moeilike deel.

Die duursame praktyk is ’n klein sjabloon wat jy invul voor jy plak: watter kant, watter assosiasie-identifiseerder, watter rigting, watter teller, en wat reeds uitgesluit is. Die swanctl list-sas-dokumentasie beskryf die opsommingvelde, en dit is wat die meeste kaartjies werklik nodig het. Alles anders is op versoek beskikbaar vir iemand wat dit nodig het. ’n Diagnostiese verslag moet bewyse bevat, nie toegang nie.