Cara memeriksa status IPsec tanpa menerbitkan kuncinya

Dump status IPsec bukan laporan status, dan memperlakukannya begitu adalah cara materi kunci berakhir di pelacak masalah publik. Sebagian keluaran inspeksi kernel memuat kunci lalu lintas yang dipakai kernel, bersama alamat, selektor, dan penghitung yang benar-benar berguna. Kebiasaan aman adalah mengumpulkan ringkasan lebih dulu dan baru meraih status mentah ketika ringkasan tidak dapat menjawab pertanyaannya. Jika Anda tetap harus melihat status mentah, lihatlah secara lokal dan bagikan sesuatu yang lebih sempit.

Pemeriksaan 1: apakah artefak ini bisa keluar dari mesin sama sekali

Berkas konfigurasi, kunci privat, tangkapan paket tanpa batas, dan dump status mentah semuanya rahasia sampai terbukti sebaliknya. Perintah yang mencetak kunci tidak menjadi aman karena Anda menjalankannya untuk diagnostik.

Aturannya cukup sederhana untuk diucapkan dalam satu kalimat: bagikan pengamatan yang menjawab pertanyaan, bukan status mesin yang menghasilkannya.

Pemeriksaan 2: pilih perintah ringkasan, bukan dump status

Untuk strongSwan, swanctl --list-sas menampilkan ringkasan asosiasi: identitas, child SA yang terpasang, status, dan penghitung. Perintah ini tidak memerlukan dump kunci mentah, dan inilah hal pertama yang ditempel ke tiket. Di sisi kernel, iproute2 mendukung ip xfrm state list nokeys pada versi yang mendokumentasikan opsi ini, yang menahan materi kunci sambil mempertahankan bidang asosiasi.

Pastikan sintaksnya di manual lokal sebelum mengandalkannya, karena opsi ini tidak ada di setiap rilis, dan daftar status umum tanpanya adalah perintah lain dengan keluaran berbeda. Menjalankan ip xfrm state pada build lama untuk melihat apakah flag itu ada justru kesalahan yang dibahas daftar periksa ini.

Pemeriksaan 3: catat hanya yang dibutuhkan penyelidikan

Status asosiasi, algoritme, selektor, stempel waktu, arah, dan penghitung yang relevan biasanya sudah cukup. Identitas akun, alamat publik, dan topologi internal sering kali tidak, dan semuanya dapat disunting tanpa kehilangan nilai diagnostik.

Sunting secara default dan tambahkan kembali bila diminta. Orang yang membaca tiket Anda dapat meminta satu bidang lagi; tetapi ia tidak dapat membuat kunci yang sudah ditempel menjadi tidak terlihat.

Ada jalan tengah yang perlu diketahui: ringkasan pun bisa sensitif. Identitas, alamat peer, dan nama child SA menggambarkan topologi Anda, dan di sebagian organisasi itu sendiri sudah informasi terbatas. Putuskan siapa audiensnya sebelum menempel, dan utamakan kanal dengan kontrol akses yang tepat alih-alih masalah publik. Perintah yang aman tidak sama dengan tujuan yang aman.

Pemeriksaan 4: korelasikan satu percobaan di kedua ujung

Tangkap klien dan gateway untuk percobaan koneksi yang sama, pada waktu yang sama, dan pastikan asosiasi yang Anda jelaskan adalah yang dihasilkan percobaan itu. Mencampur child SA basi dari percobaan sebelumnya dengan cuplikan rute yang baru menghasilkan laporan yang konsisten secara internal dan sepenuhnya menyesatkan.

Identifikasi asosiasi lewat pengenal uniknya, bukan lewat terowongan, dan catat arah kegagalannya. Jika gejalanya tidak ada lalu lintas di satu arah, sebutkan arah mana dan sertakan tujuan uji yang tidak berbahaya, agar pembaca dapat menalar jalurnya alih-alih menebak. Penghitung yang nol di satu arah dan naik di arah lain melokalkan masalah jauh lebih baik daripada dump kunci apa pun. Simpan stempel waktu dalam satu zona waktu dan sebutkan zona mana.

Pemeriksaan 5: apa yang harus dilakukan jika materi sudah terlanjur terekspos

Menghapus lampiran tidak membuktikan bahwa tidak ada yang menyimpannya, dan tempelan publik cepat tersalin.

Perlakukan itu sebagai insiden dan gunakan proses penggantian operator: putar kunci atau kredensial yang terdampak, periksa apakah paparan itu menyiratkan kompromi yang lebih luas, dan ikuti jalur pemberitahuan yang berlaku. Pembersihan teknis adalah bagian yang mudah; asumsi bahwa tidak ada yang membacanya adalah bagian yang sulit.

Praktik yang bertahan lama adalah templat kecil yang Anda isi sebelum menempel: ujung mana, pengenal asosiasi mana, arah mana, penghitung mana, dan apa yang sudah disingkirkan. dokumentasi swanctl list-sas menjelaskan bidang ringkasan, dan itulah yang sebenarnya dibutuhkan sebagian besar tiket. Selebihnya tersedia atas permintaan bagi siapa pun yang membutuhkannya. Laporan diagnostik semestinya berisi bukti, bukan akses.