Sådan inspicerer du IPsec-tilstand uden at offentliggøre nøglerne

Et IPsec-tilstandsdump er ikke en statusrapport, og det er netop den behandling, der får nøglemateriale til at ende i en offentlig fejlsporer. Nogle kerneinspektionsuddata indeholder de trafiknøgler, kernen bruger, sammen med adresser, selektorer og tællere, som virkelig er nyttige. Den sikre vane er at indsamle oversigten først og kun gribe efter den rå tilstand, når oversigten ikke kan besvare spørgsmålet. Hvis du absolut skal se den rå tilstand, så se på den lokalt og del noget smallere.

Kontrol 1: kan denne artefakt overhovedet forlade maskinen

En konfigurationsfil, en privat nøgle, en ubegrænset pakkeoptagelse og et råt tilstandsdump er alle hemmeligheder, indtil det modsatte er bevist. En kommando, der udskriver nøgler, bliver ikke sikker af, at du kørte den til diagnostik.

Reglen er enkel nok at sige i én sætning: del den observation, der besvarer spørgsmålet, ikke den maskintilstand, der frembragte den.

Kontrol 2: vælg oversigtskommandoen, ikke tilstandsdumpet

For strongSwan viser swanctl --list-sas associationsoversigten: identiteter, installerede child SA’er, tilstande og tællere. Det kræver ikke det rå nøgledump, og det er det første, du bør indsætte i en sag. På kernesiden understøtter iproute2 ip xfrm state list nokeys på versioner, der dokumenterer valget, hvilket undertrykker nøglemateriale og bevarer associationsfelterne.

Bekræft syntaksen i den lokale manual, før du stoler på den, fordi valget ikke findes i enhver udgivelse, og en generisk tilstandsliste uden det er en anden kommando med et andet output. At køre ip xfrm state på et gammelt build for at se, om flaget findes, er netop den fejl, denne tjekliste handler om.

Kontrol 3: noter kun det, undersøgelsen har brug for

Associationsstatus, algoritmer, selektorer, tidsstempler, retning og de relevante tællere er normalt nok. Kontoidentiteter, offentlige adresser og intern topologi er det ofte ikke, og de kan redigeres uden at miste diagnostisk værdi.

Rediger som standard og tilføj tilbage efter anmodning. Den person, der læser din sag, kan bede om endnu et felt; men han kan ikke gøre en indsat nøgle uset.

Der er en mellemvej, der er værd at kende: en oversigt kan stadig være følsom. Identiteter, peer-adresser og child-navne beskriver din topologi, og i nogle organisationer er det i sig selv fortrolig information. Beslut, hvem publikum er, før du indsætter, og foretræk en kanal med den rette adgangskontrol frem for et offentligt issue. En sikker kommando er ikke det samme som en sikker destination.

Kontrol 4: korrelér ét forsøg på begge ender

Optag klienten og gatewayen for det samme forbindelsesforsøg på samme tid, og sørg for, at den association, du beskriver, er den, som forsøget producerede. At blande en forældet child SA fra et tidligere forsøg med et friskt rutesnapshot giver en rapport, der er internt konsistent og fuldstændig misvisende.

Identificér associationen ved dens unikke identifikatorer i stedet for ved tunnelen, og notér fejlens retning. Hvis symptomet er ingen trafik i én retning, så sig hvilken retning og medtag en harmløs testdestination, så læseren kan ræsonnere om stien i stedet for at gætte. En tæller, der er nul i den ene retning og stigende i den anden lokaliserer problemet langt bedre end noget nøgledump. Hold tidsstemplerne i én tidszone og sig hvilken.

Kontrol 5: hvad du skal gøre, hvis materiale allerede er blevet eksponeret

At slette vedhæftningen beviser ikke, at ingen har gemt den, og en offentlig indsættelse bliver kopieret hurtigt.

Behandl det som en hændelse, og brug operatørens udskiftningsproces: roter de berørte nøgler eller legitimationsoplysninger, kontroller, om eksponeringen indebærer et bredere kompromis, og følg den underretningsvej, der gælder. Den tekniske oprydning er den nemme del; antagelsen om, at ingen har læst det, er den svære.

Den holdbare praksis er en lille skabelon, du udfylder, før du indsætter: hvilken ende, hvilken associationsidentifikator, hvilken retning, hvilken tæller og hvad der allerede er udelukket. Den dokumentationen for swanctl list-sas beskriver oversigtsfelterne, og det er hvad de fleste sager faktisk har brug for. Alt andet er tilgængeligt efter anmodning til nogen, der har brug for det. En diagnostisk rapport bør indeholde beviser, ikke adgang.