IPsec-en egoera nola ikuskatu gakoak argitaratu gabe
Asoziazio-laburpenek eta gakoak eutsita dituzten zerrendek egoera ematen dute materialik gabe. Kernelaren isurketa gordinak trafiko-gakoak, helbideak eta hautatzaileak eraman ditzake.
IPsec egoeraren isurketa ez da egoera-txostena, eta hala tratatzea da gako-materiala arazoen jarraitzaile publiko batera iristeko bidea. Kernelaren ikuskapen-irteera batzuek kernela erabiltzen ari den trafiko-gakoak dituzte, benetan erabilgarriak diren helbide, hautatzaile eta kontagailuekin batera. Ohitura segurua laburpena lehenengo biltzea da, eta egoera gordinera soilik joatea laburpenak galderari erantzun ezin dionean. Egoera gordina begiratu behar baduzu, begiratu bertan eta partekatu zerbait estuagoa.
Egiaztapena 1: irten al daiteke artefaktu hau makinatik
Konfigurazio-fitxategia, gako pribatua, murrizketarik gabeko pakete-kaptura eta egoera-isurketa gordina sekretuak dira, kontrakoa frogatzen ez den bitartean. Gakoak inprimatzen dituen komandoa ez da seguru bihurtzen diagnostikorako exekutatu izanagatik.
Araua nahikoa simplea da esaldi bakarrean esateko: partekatu galderari erantzuten dion behaketa, ez hura sortu zuen makina-egoera.
Egiaztapena 2: aukeratu laburpen-komandoa, ez egoera-isurketa
strongSwan-entzat swanctl --list-sas asoziazioaren laburpena erakusten du: identitateak, instalatutako SA alabak, egoerak eta kontagailuak. Ez du gako-isurketa gordinik behar, eta tiket batean itsatsi beharreko lehen gauza da. Kernelaren aldean, iproute2-k ip xfrm state list nokeys onartzen du aukera dokumentatzen duten bertsioetan, eta horrek gako-materiala eusten du asoziazio-eremuak mantenduz.
Egiaztatu sintaxia tokiko eskuliburuan harekin fidatu aurretik, aukera ez baitago argitalpen guztietan, eta hura gabe egoera-zerrenda orokorra beste komando bat da, irteera desberdinekoa. Bertsio zahar batean ip xfrm state exekutatzea bandera badagoen ikusteko da kontrol-zerrenda honen gaia den akatsa.
Egiaztapena 3: idatzi ikerketak behar duena soilik
Asoziazioaren egoera, algoritmoak, hautatzaileak, denbora-markak, norabidea eta kontagailu garrantzitsuak normalean nahikoak dira. Kontu-identitateak, helbide publikoak eta barne-topologia sarritan ez dira nahikoak, eta balio diagnostikoa galdu gabe hautatu daitezke.
Hautatu lehenetsita eta gehitu berriro eskatzen bada. Zure tiketa irakurtzen duenak eremu bat gehiago eska dezake; baina itsatsitako gako bat ezin du ez-ikusi egin.
Bada ezagutzea merezi duen erdibide bat: laburpena bera ere sentikorra izan daiteke. Identitateek, parekoen helbideek eta SA alaben izenek zure topologia deskribatzen dute, eta erakunde batzuetan hori bera informazio murriztua da. Erabaki nor den publikoa itsatsi aurretik, eta hobetsi sarbide-kontrol egokia duen kanala arazo publikoaren aurrean. Komando segurua ez da helmuga segurua bezalakoa.
Egiaztapena 4: erlazionatu saiakera bat bi muturretan
Harrapatu bezeroa eta atebidea konexio-saiakera bererako, aldi berean, eta ziurtatu deskribatzen ari zaren asoziazioa saiakera horrek sortu zuen hura dela. Aurreko saiakerako SA alaba zaharkitu bat bide-snapshot berri batekin nahasteak txosten koherentea barrutik eta guztiz engainagarria sortzen du.
Identifikatu asoziazioa bere identifikatzaile bakarrengatik, ez tunelarengatik, eta idatzi hutsegitearen norabidea. Sintoma norabide batean trafiko eza bada, esan zein norabide eta gehitu proba-helmuga kaltegabe bat, irakurleak bidea arrazoitu dezan asmatu beharrean. Norabide batean zero eta bestean igotzen ari den kontagailua arazoa askoz hobeto kokatzen du edozein gako-isurketa baino. Mantendu denbora-markak ordu-zona bakarrean eta esan zeinetan.
Egiaztapena 5: zer egin materiala dagoeneko agerian geratu bada
Eranskina ezabatzeak ez du frogatzen inork gorde ez duenik, eta itsaspen publiko bat azkar kopiatzen da.
Hartu hori gorabehera gisa eta erabili operadorearen ordezkatze-prozesua: biratu kaltetutako gakoak edo kredentzialak, egiaztatu agerraldiak konpromiso zabalagoa dakarren, eta jarraitu aplikagarria den jakinarazpen-bidea. Garbiketa teknikoa zati erraza da; inork irakurri ez duenaren ustea da zaila.
Praktika iraunkorra itsatsi aurretik betetzen duzun txantiloi txiki bat da: zein mutur, zein asoziazio-identifikatzaile, zein norabide, zein kontagailu eta zer baztertu den jada. swanctl list-sas dokumentazioa laburpen-eremuak deskribatzen ditu, eta hori da tiket gehienek benetan behar dutena. Gainerako guztia eskatzen duenarentzat dago eskuragarri. Diagnostiko-txostenak frogak izan behar ditu, ez sarbidea.