چگونه وضعیت IPsec را بدون انتشار کلیدهایش بررسی کنیم
خلاصه‌های انجمن و فهرست‌های با کلیدهای سرکوب‌شده وضعیت را بدون خود مواد می‌دهند. یک دامپ خام هسته می‌تواند کلیدهای ترافیک، نشانی‌ها و انتخابگرها را حمل کند.
دامپ وضعیت IPsec یک گزارش وضعیت نیست، و رفتار کردن با آن به‌عنوان چنین چیزی همان راهی است که مواد کلید به یک ردیاب مشکل عمومی می‌رسد. برخی از خروجی‌های بازرسی هسته شامل کلیدهای ترافیکی است که هسته استفاده می‌کند، همراه با نشانی‌ها، انتخابگرها و شمارنده‌هایی که واقعاً مفیدند. عادت ایمن این است که ابتدا خلاصه را جمع کنید و تنها زمانی به وضعیت خام برسید که خلاصه نتواند به پرسش پاسخ دهد. اگر باید وضعیت خام را ببینید، محلی نگاه کنید و چیز باریک‌تری به اشتراک بگذارید.
بررسی 1: آیا این دستاورد اصلاً می‌تواند دستگاه را ترک کند
یک پرونده پیکربندی، یک کلید خصوصی، یک ضبط بسته بی‌محدودیت و یک دامپ وضعیت خام تا زمانی که خلافش ثابت نشود، همه راز هستند. فرمانی که کلیدها را چاپ می‌کند با این واقعیت که آن را برای عیب‌یابی اجرا کرده‌اید ایمن نمی‌شود.
قاعده به‌قدری ساده است که در یک جمله گفته شود: مشاهده‌ای را که به پرسش پاسخ می‌دهد به اشتراک بگذارید، نه وضعیت دستگاهی را که آن را تولید کرده است.
بررسی 2: فرمان خلاصه را انتخاب کنید، نه دامپ وضعیت
برای strongSwan دستور swanctl --list-sas خلاصه انجمن را نشان می‌دهد: هویت‌ها، SAهای فرزند نصب‌شده، وضعیت‌ها و شمارنده‌ها. این دستور به دامپ خام کلید نیاز ندارد و نخستین چیزی است که باید در یک تیکت چسبانده شود. در سمت هسته، iproute2 در نسخه‌هایی که گزینه را مستند می‌کنند ip xfrm state list nokeys را پشتیبانی می‌کند، که مواد کلید را سرکوب می‌کند و در عین حال فیلدهای انجمن را نگه می‌دارد.
پیش از تکیه بر آن، نحو را در راهنمای محلی تأیید کنید، زیرا این گزینه در هر انتشار وجود ندارد و فهرست عمومی وضعیت بدون آن فرمان دیگری با خروجی متفاوت است. اجرای ip xfrm state روی یک ساخت قدیمی برای دیدن اینکه آیا پرچم وجود دارد، دقیقاً همان اشتباهی است که این چک‌لیست درباره‌اش است.
بررسی 3: فقط آنچه تحقیق نیاز دارد را ثبت کنید
وضعیت انجمن، الگوریتم‌ها، انتخابگرها، برچسب‌های زمانی، جهت و شمارنده‌های مربوطه معمولاً کافی است. هویت حساب‌ها، نشانی‌های عمومی و توپولوژی داخلی اغلب کافی نیست، و می‌توان آن‌ها را بدون از دست دادن ارزش تشخیصی پوشاند.
به‌طور پیش‌فرض پوشانده و در صورت درخواست دوباره اضافه کنید. کسی که تیکت شما را می‌خواند می‌تواند یک فیلد دیگر بخواهد؛ اما نمی‌تواند کلید چسبانده‌شده را ندیده بگیرد.
یک راه میانه وجود دارد که دانستنش می‌ارزد: خلاصه هم می‌تواند حساس باشد. هویت‌ها، نشانی‌های همتا و نام‌های SA فرزند توپولوژی شما را توصیف می‌کنند، و در برخی سازمان‌ها این خودش اطلاعات محدود است. پیش از چسباندن تصمیم بگیرید مخاطب کیست، و کانالی با کنترل دسترسی درست را به یک مسئله عمومی ترجیح دهید. فرمان ایمن با مقصد ایمن یکسان نیست.
بررسی 4: یک تلاش را در دو سر به هم ربط دهید
کارخواه و دروازه را برای همان تلاش اتصال، در همان زمان ثبت کنید، و مطمئن شوید انجمنی که توصیف می‌کنید همانی است که آن تلاش تولید کرده است. آمیختن یک SA فرزند کهنه از تلاش پیشین با یک عکس لحظه‌ای تازه از مسیرها گزارشی می‌سازد که از درون سازگار و کاملاً گمراه‌کننده است.
انجمن را با شناسه‌های یکتایش بشناسید نه با تونل، و جهت شکست را یادداشت کنید. اگر نشانه نبود ترافیک در یک جهت است، بگویید کدام جهت و یک مقصد آزمایشی بی‌ضرر اضافه کنید، تا خواننده درباره مسیر استدلال کند نه اینکه حدس بزند. شمارنده‌ای که در یک جهت صفر و در جهت دیگر بالا می‌رود مشکل را بسیار بهتر از هر دامپ کلیدی مکان‌یابی می‌کند. برچسب‌های زمانی را در یک منطقه زمانی نگه دارید و بگویید کدام.
بررسی 5: اگر مواد پیش‌تر افشا شده باشد چه کنیم
حذف پیوست ثابت نمی‌کند که هیچ‌کس آن را نگه نداشته، و یک چسباندن عمومی به‌سرعت کپی می‌شود.
با آن مانند یک رخداد رفتار کنید و از فرایند جایگزینی اپراتور استفاده کنید: کلیدها یا اعتبارنامه‌های متأثر را بچرخانید، بررسی کنید آیا افشا به نفوذ گسترده‌تری اشاره دارد، و هر مسیر اطلاع‌رسانی که مصداق دارد را دنبال کنید. پاک‌سازی فنی بخش آسان است؛ این فرض که هیچ‌کس آن را نخوانده بخش دشوار است.
تمرین پایدار یک الگوی کوچک است که پیش از چسباندن پر می‌کنید: کدام سر، کدام شناسه انجمن، کدام جهت، کدام شمارنده و چه چیزی پیش‌تر کنار گذاشته شده است. مستندات swanctl list-sas فیلدهای خلاصه را توصیف می‌کند، و بیشتر تیکت‌ها واقعاً همین را می‌خواهند. هر چیز دیگری در صورت درخواست برای کسی که به آن نیاز دارد در دسترس است. گزارش تشخیصی باید شواهد داشته باشد، نه دسترسی.