Comment inspecter l’état d’IPsec sans publier ses clés

Un vidage d’état IPsec n’est pas un rapport d’état, et le traiter comme tel est précisément ce qui fait atterrir le matériel de clés dans un traqueur de problèmes public. Certaines sorties d’inspection du noyau incluent les clés de trafic qu’utilise le noyau, avec des adresses, des sélecteurs et des compteurs réellement utiles. L’habitude sûre consiste à recueillir d’abord le résumé et à n’aller vers l’état brut que lorsque le résumé ne peut pas répondre à la question. Si vous devez malgré tout regarder l’état brut, regardez-le localement et partagez quelque chose de plus étroit.

Vérification 1 : cet artefact peut-il seulement quitter la machine

Un fichier de configuration, une clé privée, une capture de paquets sans restriction et un vidage d’état brut sont tous des secrets jusqu’à preuve du contraire. Une commande qui imprime des clés ne devient pas sûre parce que vous l’avez lancée pour un diagnostic.

La règle est assez simple pour tenir en une phrase : partagez l’observation qui répond à la question, pas l’état de la machine qui l’a produite.

Vérification 2 : choisissez la commande de résumé, pas le vidage d’état

Pour strongSwan, swanctl --list-sas affiche le résumé de l’association : identités, SA enfants installées, états et compteurs. Il n’exige pas le vidage brut des clés et c’est la première chose à coller dans un ticket. Côté noyau, iproute2 prend en charge ip xfrm state list nokeys sur les versions qui documentent l’option, ce qui masque le matériel de clés tout en conservant les champs de l’association.

Confirmez la syntaxe dans le manuel local avant de vous y fier, car l’option n’est pas présente dans chaque version et une liste d’état générique sans elle est une autre commande avec une autre sortie. Exécuter ip xfrm state sur une ancienne compilation pour voir si l’option existe est exactement l’erreur dont traite cette liste.

Vérification 3 : ne notez que ce dont l’enquête a besoin

L’état de l’association, les algorithmes, les sélecteurs, les horodatages, la direction et les compteurs pertinents suffisent généralement. Les identités de compte, les adresses publiques et la topologie interne souvent pas, et elles peuvent être masquées sans perdre de valeur diagnostique.

Masquez par défaut et rajoutez sur demande. La personne qui lit votre ticket peut demander un champ de plus ; mais elle ne peut pas désapprendre une clé collée.

Il existe un juste milieu qu’il vaut la peine de connaître : un résumé peut rester sensible. Les identités, les adresses des pairs et les noms des SA enfants décrivent votre topologie, et dans certaines organisations c’est en soi une information restreinte. Décidez qui est le public avant de coller, et préférez un canal doté du bon contrôle d’accès à un problème public. Une commande sûre n’est pas la même chose qu’une destination sûre.

Vérification 4 : corrélez une tentative des deux côtés

Capturez le client et la passerelle pour la même tentative de connexion, au même moment, et assurez-vous que l’association que vous décrivez est celle que cette tentative a produite. Mélanger une SA enfant périmée d’une tentative antérieure avec un instantané de routes récent produit un rapport cohérent en interne et complètement trompeur.

Identifiez l’association par ses identifiants uniques plutôt que par le tunnel, et notez la direction de la panne. Si le symptôme est une absence de trafic dans un sens, dites lequel et ajoutez une destination de test inoffensive, pour que le lecteur raisonne sur le chemin au lieu de deviner. Un compteur qui est nul dans un sens et qui monte dans l’autre localise le problème bien mieux que n’importe quel vidage de clés. Gardez les horodatages dans un seul fuseau horaire et dites lequel.

Vérification 5 : que faire si le matériel a déjà été exposé

Supprimer la pièce jointe ne prouve pas que personne ne l’a conservée, et un collage public est copié rapidement.

Traitez cela comme un incident et utilisez le processus de remplacement de l’opérateur : faites tourner les clés ou identifiants concernés, vérifiez si l’exposition implique une compromission plus large et suivez le circuit de notification qui s’applique. Le nettoyage technique est la partie facile ; le postulat que personne ne l’a lu est la partie difficile.

La pratique durable est un petit modèle que vous remplissez avant de coller : quel côté, quel identifiant d’association, quelle direction, quel compteur et ce qui a déjà été écarté. Le documentation de swanctl list-sas décrit les champs du résumé, et c’est ce dont la plupart des tickets ont réellement besoin. Tout le reste est disponible sur demande pour qui en a besoin. Un rapport de diagnostic doit contenir des preuves, pas un accès.