Lugege oma VPN-i logi enne selle saatmist: väli välja haaval
Tugilogid sisaldavad kasutajanimesid, sertifikaatide nimesid, sisemisi aadresse ja mõnikord võtit. Käige väljad läbi, otsige saladusi ja saatke seejärel redigeeritud väljavõte.
Avate tugipileti, lisate kliendi loodud diagnostikaekspordi ja ootate. Fail ei sisalda tõenäoliselt üldse brauseriajalugu, ja just see teeb selle turvalise tunduvaks. Selles on siiski, kes te olete, millist masinat kasutasite, millistele sisemistele aadressidele ja millal jõudsite, ja aeg-ajalt privaatvõti, mille kopeeris klient, kes logib oma konfiguratsiooni. Faili läbivaatamine enne saatmist võtab umbes viis minutit ja hoiab ära püsiva avalikustamise.
Avage see ja lugege esimest neljakümmet rida
Alustage ülevalt, kuhu kliendid tavaliselt versiooni, platvormi ja konfiguratsiooni välja valavad. Esimesed read ütlevad, kui detailsõnaline fail on, mis määrab, kui palju ülejäänust peate hoolima. Vaikelogi ja silumislogi on erinevad artefaktid erineva avatusega.
head -n 40 vpn-support.log
sed -n '1,40p' vpn-support.log | grep -nE 'version|platform|config|option'Kontrollige ka faili suurust ja kuju enne selle ükskõik millise osa lugemist. Kahe megabaidine tekstifail ühe korduva sündmusega on kergesti kärbitav. Sama kausta binaarne salvestus on hoopis teine probleem ja nõuab teistsugust vestlust sellega, kes ekspordi küsis.
Windowsis on vasteks üks cmdlet kummagi kohta, ja esimest tasub käivitada igal failil, mida te ise ei loonud:
Get-Content .\vpn-support.txt -TotalCount 40
Get-Item .\vpn-support.txt | Select-Object Length,LastWriteTimeVäljad, mis identifitseerivad isiku
Kasutajanimed ilmuvad kohtades, kus inimesed neid ei oota: autentimiseks kasutatav konto, sertifikaadi subjekt, profiili tee kodukataloogi all ja masinanimi, mis sageli kodeerib päris nime. Logi, mis redigeerib kontovälja ja jätab kodutee puutumata, ei ole redigeerinud midagi.
| Field | What it identifies | Practical treatment |
|---|---|---|
| Account or username | A person, and often an employer | Replace consistently, keep the mapping |
| Certificate subject and CN | Device or user identity | Keep the structure, replace the value |
| Home directory path | A login name, sometimes a full name | Replace the segment, not the whole path |
| Machine or hostname | A person or a physical location | Replace with a stable pseudonym |
Järjekindlus on tähtsam kui täielikkus, kui tugiinsener peab failist ühte seanssi jälgima. Asendage väärtused püsivate siltidega, mitte ärge kustutage neid, et iga sama kasutaja esinemine loetaks endiselt sama kasutajana. Välja täielik kustutamine katkestab niidi, mida insener vajab, ega muuda faili turvalisemaks.
Ajatempel on ka kogumina isikuandmed. Ajad, mil konto ühendus, kuu jooksul võetuna, kirjeldavad tööaega ja reisimist. Kui küsimus ei vaja kogu vahemikku, kärpige fail sündmuse ümber oleva aknani.
Väljad, mis identifitseerivad võrgu
Lõpp-punkti aadressid, sisemised marsruudid ja läkitatud valikud kirjeldavad privaatvõrgu kuju. Just seda teavet sooviks ründaja saada, ja seda on tavaliselt palju üksikasjalikumalt, kui pilet vajab.
Otsige kasutatavat aadressiperekonda, mitte ainult seda, mida ootasite. Kahe virna klient võib logida IPv6 lõpp-punkti ja hulga IPv6 marsruute, mida keegi ei mõelnud redigeerida, sest ülevaatus otsis ainult punktiga eraldatud nelikuid.
grep -nEo '([0-9]{1,3}\.){3}[0-9]{1,3}' vpn-support.log | sort -u | head -n 40
grep -nEo '([0-9a-fA-F]{0,4}:){2,7}[0-9a-fA-F]{0,4}' vpn-support.log | sort -u | head -n 20Unikaalne loend on mõte. See ütleb, kui palju erinevaid aadresse fail mainib, ja seda on tavaliselt palju vähem, kui kerides tundub. See annab ka redigeerimise kontroll-loendi ja viisi tõestada, et katsite kõik. Kümme aadressi on viie minuti töö ja sada ütleb, et eksport on küsimusest laiem.
Hoidke topoloogia, kui insener seda vajab. Teise ja kolmanda okteti asendamine alamvõrgu suhete säilitamisel vastab küsimusele ilma vahemikku avaldamata. Sama trikk toimib IPv6-prefiksite puhul. Insener vajab tõrke kuju ja kuju jääb püsima järjekindla asenduse korral.
Saladused peituvad vormides, mitte siltides
Privaatvõti ei vaja sõna “password” enda lähedusse. See ilmub plokina markerridade vahel, pika base64-stringina või sisemise konfiguratsioonidumbina. Märgid ilmuvad päringuparameetritena ja mandaadid URL-ide sees, mille klient logis sõna-sõnalt.
grep -nE 'BEGIN [A-Z ]*PRIVATE KEY|password|passwd|token|secret|psk|auth-user-pass' vpn-support.log
grep -nE 'https?://[^ ]*:[^ ]*@' vpn-support.logTeine muster on see, mille inimesed unustavad. URL kujul skeem, kasutaja, parool, host on täielik mandaat, ja kliendid logivad selliseid URL-e alati, kui puhverserver või voog on seadistatud sisemise autentimisega.
Ärge kunagi saatke originaalfaili tõendina, et te ei muutnud seda. Kui operaator nõuab muutmata eksporti, küsige, milleks seda vaja on, saatke see nende kinnitatud tugikanali kaudu ja kustutage seejärel oma kohalik koopia. See palve on seaduslik; avalik kleepimine ei ole.
Koostage redigeeritud koopia ja saatke väljavõte
Töötage koopial, hoidke originaali kaitstud kohas ja redigeerige korratava käsuga, mitte käsitsi. Üks läbiminek aadressimustritest tabab suurema osa sellest:
cp vpn-support.log vpn-support.original.log
sed -E 's/([0-9]{1,3}\.){3}[0-9]{1,3}/ADDR/g; s/[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+/USER@DOMAIN/g' \
vpn-support.original.log > vpn-support.redacted.log
grep -cE 'PRIVATE KEY|password|token' vpn-support.redacted.logLõplik arv peaks olema null. Kui ei ole, jättis redigeerimisläbiminek ühe kuju vahele ja peaksite enne millegi saatmist neid ridu vaatama. Lugege redigeeritud faili ka üks kord oma silmadega; skript tabab mustreid, mitte konteksti.
Saatke väikseim väljavõte, mis näitab endiselt tõrget. Kümme rida vea ümber on tavaliselt piisav ja neid on palju lihtsam üle vaadata kui kahe megabaist faili. Seejärel hoidke oma siltide ja tegelike väärtuste vastavust kohas, mida kontrollite, sest järelküsimus vajab seda.
OpenVPN-i logimisdokumentatsioon kirjeldab, kuidas detailsusastmed muudavad seda, mida salvestatakse, mis on kasulik kontekst otsustamaks, kui palju faili probleem tegelikult nõuab.