כיצד לבדוק את מצב IPsec בלי לפרסם את המפתחות שלו

תמונת מצב גולמית של IPsec אינה דוח מצב, והתייחסות אליה ככזו היא הדרך שבה חומר מפתחות מגיע למעקב בעיות ציבורי. חלק מפלטי הבדיקה של הגרעין כוללים את מפתחות התעבורה שהגרעין משתמש בהם, לצד כתובות, בוררים ומונים שהם באמת שימושיים. ההרגל הבטוח הוא לאסוף קודם את הסיכום ולפנות למצב הגולמי רק כאשר הסיכום אינו יכול לענות על השאלה. אם בכל זאת עליכם להסתכל במצב הגולמי, הסתכלו מקומית ושתפו משהו צר יותר.

בדיקה 1: האם החפץ הזה יכול בכלל לצאת מהמכונה

קובץ תצורה, מפתח פרטי, לכידת מנות בלתי מוגבלת ותמונת מצב גולמית הם כולם סודות עד שיוכח אחרת. פקודה שמדפיסה מפתחות אינה נעשית בטוחה מפני שהרצתם אותה לצורכי אבחון.

הכלל פשוט מספיק כדי לומר אותו במשפט אחד: שתפו את התצפית שעונה על השאלה, לא את מצב המכונה שיצר אותה.

בדיקה 2: בחרו בפקודת הסיכום, לא בתמונת המצב

עבור strongSwan הפקודה swanctl --list-sas מציגה את סיכום האגודה: זהויות, SA בנים מותקנים, מצבים ומונים. היא אינה דורשת את תמונת המפתחות הגולמית, והיא הדבר הראשון שצריך להדביק בכרטיס. בצד הגרעין, iproute2 תומך בפקודה ip xfrm state list nokeys בגרסאות שמתעדות את האפשרות, מה שמדכא את חומר המפתחות תוך שמירה על שדות האגודה.

אמתו את התחביר במדריך המקומי לפני שאתם מסתמכים עליו, כי האפשרות אינה קיימת בכל מהדורה, ורישום מצב כללי בלעדיה הוא פקודה אחרת עם פלט אחר. הרצת ip xfrm state על בנייה ישנה כדי לראות אם הדגל קיים היא בדיוק הטעות שבדיקת הרשימה הזאת עוסקת בה.

בדיקה 3: תעדו רק את מה שהחקירה צריכה

מצב האגודה, האלגוריתמים, הבוררים, חותמות הזמן, הכיוון והמונים הרלוונטיים בדרך כלל מספיקים. זהויות חשבון, כתובות ציבוריות וטופולוגיה פנימית לעתים קרובות לא, וניתן להשמיט אותן בלי לאבד ערך אבחוני.

השמיטו כברירת מחדל והוסיפו בחזרה לפי בקשה. מי שקורא את הכרטיס שלכם יכול לבקש שדה נוסף; אבל הוא אינו יכול לבטל מפתח שכבר הודבק.

יש דרך אמצעית שכדאי להכיר: גם סיכום יכול להיות רגיש. זהויות, כתובות עמיתים ושמות SA בנים מתארים את הטופולוגיה שלכם, ובחלק מהארגונים זה עצמו מידע מוגבל. החליטו מי הקהל לפני שאתם מדביקים, והעדיפו ערוץ עם בקרת גישה נכונה על פני בעיה ציבורית. פקודה בטוחה אינה אותו דבר כמו יעד בטוח.

בדיקה 4: קשרו ניסיון אחד בשני הקצוות

תעדו את הלקוח ואת השער עבור אותו ניסיון חיבור, באותו זמן, וודאו שהאגודה שאתם מתארים היא זו שהניסיון הזה יצר. ערבוב של SA בן מיושן מניסיון קודם עם תמונת מצב טרייה של מסלולים מייצר דוח עקבי מבפנים ומטעה לחלוטין.

זהו את האגודה לפי המזהים הייחודיים שלה ולא לפי המנהרה, וציינו את כיוון הכשל. אם התסמין הוא היעדר תעבורה בכיוון אחד, אמרו איזה כיוון והוסיפו יעד בדיקה בלתי מזיק, כדי שהקורא יוכל להרהר בנתיב במקום לנחש. מונה שהוא אפס בכיוון אחד ועולה בכיוון השני ממקם את הבעיה הרבה יותר טוב מכל תמונת מפתחות. החזיקו את חותמות הזמן באזור זמן אחד ואמרו איזה.

בדיקה 5: מה לעשות אם החומר כבר נחשף

מחיקת הקובץ המצורף אינה מוכיחה שאיש לא שמר אותו, והדבקה ציבורית מועתקת במהירות.

התייחסו לכך כתקרית והשתמשו בתהליך ההחלפה של המפעיל: סובבו את המפתחות או פרטי ההסמכה שנפגעו, בדקו אם החשיפה מרמזת על פגיעה רחבה יותר, ופעלו לפי נתיב ההודעה הרלוונטי. הניקוי הטכני הוא החלק הקל; ההנחה שאיש לא קרא אותו היא החלק הקשה.

הנוהג העמיד הוא תבנית קטנה שאתם ממלאים לפני ההדבקה: איזה קצה, איזה מזהה אגודה, איזה כיוון, איזה מונה ומה כבר נשלל. התיעוד של swanctl list-sas מתאר את שדות הסיכום, וזה מה שרוב הכרטיסים באמת צריכים. כל השאר זמין לפי בקשה למי שצריך. דוח אבחוני צריך להכיל ראיות, לא גישה.