Kiel kontroli la staton de IPsec sen publikigi ĝiajn ŝlosilojn

Kruda dumpo de IPsec-stato ne estas statusraporto, kaj trakti ĝin kiel tian estas la vojo, per kiu ŝlosila materialo finiĝas en publika problem-spurilo. Kelkaj eligoj de kerninspektado enhavas la trafikajn ŝlosilojn, kiujn la kerno uzas, kune kun adresoj, selektiloj kaj nombriloj, kiuj vere utilas. La sekura kutimo estas unue kolekti la resumon kaj nur tiam preni la krudan staton, kiam la resumo ne povas respondi la demandon. Se vi tamen devas rigardi la krudan staton, rigardu loke kaj dividu ion pli mallarĝan.

Kontrolo 1: ĉu tiu artefakto entute povas forlasi la maŝinon

Konfigura dosiero, privata ŝlosilo, senlima paketkapto kaj kruda stata dumpo ĉiuj estas sekretoj ĝis oni pruvos la malon. Komando, kiu presas ŝlosilojn, ne fariĝas sekura pro tio, ke vi ruligis ĝin por diagnozado.

La regulo estas sufiĉe simpla por diri ĝin en unu frazo: dividu la observon, kiu respondas la demandon, ne la maŝinstaton, kiu produktis ĝin.

Kontrolo 2: elektu la resuman komandon, ne la statan dumpon

Por strongSwan swanctl --list-sas montras la resumon de la asocio: identecoj, instalitaj idaj SA-oj, statoj kaj nombriloj. Ĝi ne postulas la krudan ŝlosildumpon, kaj ĝi estas la unua afero, kiun oni algluu en bileton. Sur la kernoflanko iproute2 subtenas ip xfrm state list nokeys en versioj, kiuj dokumentas la opcion, kio subpremas ŝlosilan materialon dum konservado de la asociaj kampoj.

Konfirmu la sintakson en la loka manlibro antaŭ ol fidi ĝin, ĉar la opcio ne ĉeestas en ĉiu eldono, kaj ĝenerala stata listo sen ĝi estas alia komando kun alia eligo. Ruligi ip xfrm state sur malnova konstruo por vidi, ĉu la flago ekzistas, estas ĝuste la eraro, pri kiu temas ĉi tiu kontrol-listo.

Kontrolo 3: notu nur tion, kion la esploro bezonas

Asocia stato, algoritmoj, selektiloj, tempomarkoj, direkto kaj la rilataj nombriloj kutime sufiĉas. Kontaj identecoj, publikaj adresoj kaj interna topologio ofte ne sufiĉas, kaj ili povas esti redaktitaj sen perdi diagnostikan valoron.

Redaktu defaŭlte kaj aldonu reen laŭ peto. La persono, kiu legas vian bileton, povas peti plian kampon; sed li ne povas malfari algluitan ŝlosilon.

Ekzistas meza vojo, kiun indas koni: resumo ankoraŭ povas esti sentema. Identecoj, ĝemelaj adresoj kaj nomoj de idaj SA-oj priskribas vian topologion, kaj en kelkaj organizoj tio mem estas limigita informo. Decidu, kiu estas la publiko, antaŭ ol alglui, kaj preferu kanalon kun la ĝusta alirkontrolo anstataŭ publika problemo. Sekura komando ne samas kiel sekura celo.

Kontrolo 4: kunligu unu provon ĉe ambaŭ finoj

Kaptu la klienton kaj la enirejon por la sama konekprovo, samtempe, kaj certiĝu, ke la asocio, kiun vi priskribas, estas tiu, kiun tiu provo produktis. Miksi malaktualan idan SA-on el pli frua provo kun freŝa vojmapa momentfoto produktas raporton interne konsekvencan kaj tute trompan.

Identigu la asocion per ĝiaj unikaj identigiloj, ne per la tunelo, kaj notu la direkton de la malsukceso. Se la simptomo estas neniom da trafiko en unu direkto, diru kiun direkton kaj aldonu sendanĝeran testan celon, por ke la leganto povu rezonadi pri la vojo anstataŭ diveni. Nombrilo, kiu estas nulo en unu direkto kaj kreskas en la alia lokigas la problemon multe pli bone ol iu ajn ŝlosildumpo. Tenu la tempomarkojn en unu horzono kaj diru kiun.

Kontrolo 5: kion fari, se materialo jam estis elmontrita

Forigi la aldonaĵon ne pruvas, ke neniu konservis ĝin, kaj publika algluaĵo estas kopiata rapide.

Traktu tion kiel incidenton kaj uzu la anstataŭigan procezon de la operatoro: rotaciu la tuŝitajn ŝlosilojn aŭ akreditaĵojn, kontrolu, ĉu la elmontro implicas pli vastan kompromiton, kaj sekvu tiun sciigan vojon, kiu aplikiĝas. La teknika purigado estas la facila parto; la supozo, ke neniu legis ĝin, estas la malfacila.

La daŭra praktiko estas malgranda ŝablono, kiun vi plenigas antaŭ algluo: kiu fino, kiu asocia identigilo, kiu direkto, kiu nombrilo kaj kio jam estis ekskludita. La dokumentaro de swanctl list-sas priskribas la resumajn kampojn, kaj tion plej multaj biletoj vere bezonas. Ĉio alia estas disponebla laŭ peto al iu, kiu bezonas ĝin. Diagnoza raporto devus enhavi pruvojn, ne aliron.