Cómo inspeccionar el estado de IPsec sin publicar sus claves

Un volcado de estado de IPsec no es un informe de estado, y tratarlo como tal es la forma en que el material de claves acaba en un rastreador de problemas público. Algunas salidas de inspección del núcleo incluyen las claves de tráfico que usa el núcleo, junto con direcciones, selectores y contadores que sí son útiles. El hábito seguro es recoger primero el resumen y recurrir al estado crudo solo cuando el resumen no puede responder a la pregunta. Si tiene que mirar el estado crudo, mírelo localmente y comparta algo más estrecho.

Comprobación 1: ¿puede este artefacto salir de la máquina

Un archivo de configuración, una clave privada, una captura de paquetes sin restricciones y un volcado de estado crudo son todos secretos hasta que se demuestre lo contrario. Una orden que imprime claves no se vuelve segura porque la ejecutara para diagnóstico.

La regla es lo bastante simple para decirla en una frase: comparta la observación que responde a la pregunta, no el estado de la máquina que la produjo.

Comprobación 2: elija la orden de resumen, no el volcado de estado

Para strongSwan, swanctl --list-sas muestra el resumen de la asociación: identidades, SA hijas instaladas, estados y contadores. No requiere el volcado crudo de claves y es lo primero que hay que pegar en un tique. Del lado del núcleo, iproute2 admite ip xfrm state list nokeys en las versiones que documentan la opción, lo que suprime el material de claves manteniendo los campos de la asociación.

Confirme la sintaxis en el manual local antes de fiarse de ella, porque la opción no está presente en todas las versiones y un listado genérico de estado sin ella es otra orden con una salida distinta. Ejecutar ip xfrm state en una compilación antigua para ver si existe la opción es exactamente el error del que trata esta lista.

Comprobación 3: anote solo lo que la investigación necesita

El estado de la asociación, los algoritmos, los selectores, las marcas de tiempo, la dirección y los contadores relevantes suelen bastar. Las identidades de cuenta, las direcciones públicas y la topología interna a menudo no, y pueden redactarse sin perder valor diagnóstico.

Redacte por defecto y añada de nuevo si se lo piden. Quien lee su tique puede pedir un campo más; pero no puede desver una clave pegada.

Hay un término medio que conviene conocer: un resumen también puede ser sensible. Las identidades, las direcciones de los pares y los nombres de las SA hijas describen su topología, y en algunas organizaciones eso ya es información restringida. Decida quién es el público antes de pegar y prefiera un canal con el control de acceso adecuado a un problema público. Una orden segura no es lo mismo que un destino seguro.

Comprobación 4: correlacione un intento en ambos extremos

Capture el cliente y la pasarela del mismo intento de conexión, al mismo tiempo, y asegúrese de que la asociación que describe es la que produjo ese intento. Mezclar una SA hija antigua de un intento anterior con una instantánea fresca de rutas produce un informe internamente coherente y completamente engañoso.

Identifique la asociación por sus identificadores únicos y no por el túnel, y anote la dirección del fallo. Si el síntoma es que no hay tráfico en una dirección, diga cuál e incluya un destino de prueba inofensivo, para que el lector pueda razonar sobre la ruta en lugar de adivinar. Un contador que es cero en una dirección y sube en la otra localiza el problema mucho mejor que cualquier volcado de claves. Mantenga las marcas de tiempo en una sola zona horaria y diga cuál.

Comprobación 5: qué hacer si el material ya se ha expuesto

Borrar el adjunto no demuestra que nadie lo haya conservado, y un pegado público se copia deprisa.

Trátelo como un incidente y use el proceso de sustitución del operador: rote las claves o credenciales afectadas, compruebe si la exposición implica un compromiso más amplio y siga la ruta de notificación que corresponda. La limpieza técnica es la parte fácil; la suposición de que nadie lo ha leído es la difícil.

La práctica duradera es una plantilla pequeña que rellena antes de pegar: qué extremo, qué identificador de asociación, qué dirección, qué contador y qué se ha descartado ya. La documentación de swanctl list-sas describe los campos del resumen, que es lo que la mayoría de los tiques necesitan de verdad. Todo lo demás está disponible si lo pide quien lo necesita. Un informe de diagnóstico debería contener pruebas, no acceso.