Hoe jo de IPsec-steat ynspektearje sûnder de kaaien te publisearjen

In IPsec-steatdump is gjin statusrapport, en it dêrfoar oansjen is krekt hoe’t kaaimateriaal yn in iepenbier probleemtracker belânet. Guon útfier fan kernel-ynspeksje befettet de ferkearskaaien dy’t de kernel brûkt, tegearre mei adressen, selektors en tellers dy’t wier nuttich binne. De feilige gewoante is earst it gearfet te sammeljen en pas nei de raue steat te grypen as it gearfet de fraach net beantwurdzje kin. As jo dochs nei de raue steat sjen moatte, sjoch dan lokaal en diel eat smelder.

Kontrôle 1: kin dit artefakt de masine wol ferlitte

In konfiguraasjebestân, in priveekai, in ûnbeheinde pakketopname en in raue steatdump binne allegear geheimen oant it tsjinoerstelde bewiisd is. In opdracht dy’t kaaien printsje wurdt net feilich trochdat jo him foar diagnostyk draaiden.

De regel is ienfâldich genôch om yn ien sin te sizzen: diel de waarnimming dy’t de fraach beantwurdet, net de masinesteat dy’t him makke hat.

Kontrôle 2: kies it gearfetopdracht, net de steatdump

Foar strongSwan lit swanctl --list-sas it assosjaasje-gearfet sjen: identiteiten, ynstalleare child SA’s, steaten en tellers. It freget net om de raue kaidump, en it is it earste ding dat jo yn in ticket plakke. Oan de kernelkant stipet iproute2 ip xfrm state list nokeys op ferzjes dy’t de opsje dokumintearje, wat kaaimateriaal ûnderdrukt wylst de assosjaasjefjilden bewarre bliuwe.

Befêstigje de syntaksis yn ’e lokale hânlieding foardat jo derop fertrouwe, want de opsje is net yn elke útjefte oanwêzich, en in algemiene steatlist sûnder him is in oar opdracht mei oare útfier. ip xfrm state draaie op in âlde build om te sjen oft de flagge bestiet is krekt de flater dêr’t dizze checklist oer giet.

Kontrôle 3: skriuw allinnich op wat it ûndersyk nedich hat

Assosjaasjesteat, algoritmen, selektors, tiidstimpels, rjochting en de relevante tellers binne meastentiids genôch. Akkountidentiteiten, iepenbiere adressen en ynterne topology binne dat faak net, en se kinne redigearre wurde sûnder diagnostyske wearde te ferliezen.

Redigearje standert en foegje op fersyk wer ta. De persoan dy’t jo ticket lêst kin om noch ien fjild freegje; mar hy kin in plakt kai net mear net-sjoen meitsje.

Der is in middenwei dy’t it witten wurdich is: in gearfet kin noch altyd gefoelich wêze. Identiteiten, peer-adressen en child-nammen beskriuwe jo topology, en yn guon organisaasjes is dat sels beheinde ynformaasje. Beslis wa’t it publyk is foardat jo plakke, en ferkies in kanaal mei de goede tagongsbeheining boppe in iepenbier probleem. In feilich opdracht is net itselde as in feilige bestimming.

Kontrôle 4: korrelearje ien poging oan beide kanten

Fange de klient en de gateway foar deselde ferbiningpoging op, op itselde stuit, en soargje dat de assosjaasje dy’t jo beskriuwe dy is dy’t dy poging makke hat. It mingen fan in ferâldere child SA út in eardere poging mei in farske rûtesnapshot jout in rapport dat yntern konsistint en folslein misliedend is.

Identifisearje de assosjaasje oan syn unike identifisearders ynstee fan oan de tunnel, en notearje de rjochting fan ’e flater. As it symptoom gjin ferkear yn ien rjochting is, sis dan hokker rjochting en foegje in ûnskeadlike testbestimming ta, sadat de lêzer oer it paad tinke kin ynstee fan te rieden. In teller dy’t nul is yn ien rjochting en groeit yn ’e oare lokaliseart it probleem folle better as hokker kaidump dan ek. Hâld de tiidstimpels yn ien tiidsône en sis hokker.

Kontrôle 5: wat te dwaan as materiaal al bleatlein is

It bylage fuortsmite bewiist net dat nimmen it bewarre hat, en in iepenbiere plak wurdt gau kopiaat.

Behannelje dat as in ynsidint en brûk it ferfangingsproses fan ’e operator: rotearje de troffen kaaien of oanmeldgegevens, kontrolearje oft de bleatstelling in bredere kompromis betsjut, en folgje hokker meldingspaad dan ek fan tapassing is. De technyske opromming is it maklike part; de oanname dat nimmen it lêzen hat is it drege part.

De duorsume praktyk is in lyts sjabloan dat jo foar it plakken ynfolje: hokker kant, hokker assosjaasje-identifisearder, hokker rjochting, hokker teller en wat al útsletten is. De dokumintaasje fan swanctl list-sas beskriuwt de gearfetfjilden, en dat hawwe de measte tickets echt nedich. Al it oare is op fersyk beskikber foar wa’t it nedich hat. In diagnostysk rapport heart bewiis te befetsjen, gjin tagong.