Hvernig á að skoða IPsec-stöðu án þess að birta lyklana

Hrágagnadumpur úr IPsec er ekki stöðuskýrsla, og að meðhöndla hann sem slíkan er leiðin sem lyklaefnið endar í opinberri villuskrá. Sumir úttakir úr kjarnaskoðun innihalda flutningslyklana sem kjarninn notar, ásamt vistföngum, valurum og teljurum sem eru virkilega gagnlegir. Örugg venja er að safna samantektinni fyrst og grípa aðeins til hrástöðunnar þegar samantektin getur ekki svarað spurningunni. Ef þú verður samt að skoða hrástöðuna, skoðaðu hana á staðnum og deildu einhverju þrengra.

Athugun 1: getur þessi gripur yfir höfuð yfirgefið vélina

Stillingaskrá, einkalykill, ótakmörkuð pakkanám og hrágagnadumpur eru öll leyndarmál þar til annað er sannað. Skipun sem prentar lykla verður ekki örugg vegna þess að þú keyrðir hana vegna greiningar.

Reglan er nógu einföld til að segja í einni setningu: deildu athuguninni sem svarar spurningunni, ekki vélarástandinu sem framleiddi hana.

Athugun 2: veldu samantektarskipunina, ekki stöðudumpinn

Fyrir strongSwan sýnir swanctl --list-sas samantekt samtakanna: auðkenni, uppsettar barn-SA, stöður og teljara. Hún krefst ekki hráa lykladumpsins og er það fyrsta sem á að líma í miða. Kjarnamegin styður iproute2 ip xfrm state list nokeys í útgáfum sem skjalfesta valkostinn, sem dregur úr lyklaefninu en heldur samtakasviðunum.

Staðfestu setningafræðina í staðbundnu handbókinni áður en þú treystir á hana, því valkosturinn er ekki í hverri útgáfu, og almenn stöðulisti án hans er önnur skipun með annað úttak. Að keyra ip xfrm state á gömlu bygginguna til að sjá hvort fáninn sé til er einmitt mistökin sem þessi gátlisti fjallar um.

Athugun 3: skráðu aðeins það sem rannsóknin þarf

Staða samtakanna, reiknirit, valarar, tímarit og viðeigandi teljarar duga venjulega. Auðkenni reikninga, opinber vistföng og innri netlögun duga oft ekki, og hægt er að hylja þau án þess að missa greiningargildi.

Hylja sjálfgefið og bættu við aftur ef óskað er. Sá sem les miðann þinn getur beðið um eitt svið í viðbót; en hann getur ekki gert límdan lykil óséðan.

Það er meðalleið sem vert er að þekkja: samantekt getur samt verið viðkvæm. Auðkenni, vistföng jafningja og nöfn barn-SA lýsa netlöguninni þinni, og í sumum samtökum er það eitt og sér takmörkuð upplýsing. Ákveddu hverjir eru áhorfendur áður en þú límir, og veldu heldur rás með réttri aðgangsstýringu en opinbera atvikaskrá. Örugg skipun er ekki það sama og öruggur áfangastaður.

Athugun 4: tengdu eina tilraun á báðum endum

Náðu í biðlarann og gáttina fyrir sömu tengitilraun, á sama tíma, og vertu viss um að samtökin sem þú lýsir séu þau sem tilraunin framleiddi. Að blanda úreltum barn-SA úr fyrri tilraun við nýtt leiðasnapshot gefur skýrslu sem er innbyrðis samkvæm og algjörlega villandi.

Auðkenndu samtökin með einstökum auðkennum þeirra frekar en með tunnlinum, og skráðu stefnu bilunarinnar. Ef einkennið er engin umferð í aðra átt, segðu hvaða átt og bættu við skaðlausum prófunaráfangastað, svo lesandinn geti hugsað um leiðina í stað þess að giska. Teljari sem er núll í aðra átt og hækkar í hina staðsetur vandamálið miklu betur en nokkur lykladumpur. Haltu tímaritunum í einni tímabelti og segðu hvaða.

Athugun 5: hvað á að gera ef efnið hefur þegar orðið opinbert

Að eyða viðhenginu sannar ekki að enginn hafi geymt það, og opinber líming er afrituð fljótt.

Meðhöndlaðu þetta sem atvik og notaðu skiptiferli rekstraraðilans: snúðu viðkomandi lyklum eða skilríkjum, athugaðu hvort opinberunin gefi til kynna víðtækari skerðingu, og fylgdu þeirri tilkynningaleið sem á við. Tæknilega hreinsunin er auðveldi hlutinn; forsendan um að enginn hafi lesið það er sá erfiði.

Varanleg aðferð er lítil sniðmát sem þú fyllir út áður en þú límir: hvaða endi, hvaða samtakaaðkenni, hvaða stefna, hvaða teljari og hvað hefur þegar verið útilokað. skjölun swanctl list-sas lýsir samantektarsviðunum, og það er það sem flestir miðar þurfa í raun. Allt annað er fáanlegt að beiðni fyrir þann sem þarf. Greiningarskýrsla ætti að innihalda sönnunargögn, ekki aðgang.