როგორ შევამოწმოთ IPsec-ის მდგომარეობა მისი გასაღებების გამოქვეყნების გარეშე

IPsec-ის მდგომარეობის გამონატანი არ არის სტატუსის ანგარიში, და სწორედ ასე მოპყრობა იწვევს იმას, რომ გასაღების მატერია საჯარო პრობლემათა ტრეკერში ხვდება. მბირთვის შემოწმების ზოგიერთი გამონატანი შეიცავს იმ ტრაფიკის გასაღებებს, რომლებსაც მბირთვი იყენებს, აგრეთვე მისამართებს, სელექტორებსა და მრიცხველებს, რომლებიც ნამდვილად სასარგებლოა. უსაფრთხო ჩვევაა ჯერ შეჯამების შეგროვება და ნედლ მდგომარეობაზე მხოლოდ მაშინ მიწვდომა, როცა შეჯამება კითხვას ვერ პასუხობს. თუ მაინც უნდა შეხედოთ ნედლ მდგომარეობას, შეხედეთ ლოკალურად და გააზიარეთ უფრო ვიწრო რამ.

შემოწმება 1: შეუძლია ამ არტეფაქტს საერთოდ მანქანის დატოვება

კონფიგურაციის ფაილი, კერძო გასაღები, შეუზღუდავი პაკეტის ჩაწერა და ნედლი მდგომარეობის გამონატანი ყველა საიდუმლოა, ვიდრე საპირისპირო დამტკიცდება. ბრძანება, რომელიც გასაღებებს ბეჭდავს, უსაფრთხო არ ხდება იმით, რომ დიაგნოსტიკისთვის გაუშვით.

წესი საკმარისად მარტივია, რომ ერთი წინადადებით თქვათ: გააზიარეთ დაკვირვება, რომელიც კითხვას პასუხობს, და არა ის მანქანური მდგომარეობა, რომელმაც ის შექმნა.

შემოწმება 2: აირჩიეთ შემაჯამებელი ბრძანება და არა მდგომარეობის გამონატანი

strongSwan-ისთვის swanctl --list-sas აჩვენებს ასოციაციის შეჯამებას: იდენტობები, დაყენებული შვილი SA-ები, მდგომარეობები და მრიცხველები. ის არ მოითხოვს გასაღებების ნედლ გამონატანს და სწორედ ის არის პირველი, რაც ბილეთში უნდა ჩაისვას. მბირთვის მხარეს iproute2 მხარს უჭერს ბრძანებას ip xfrm state list nokeys იმ ვერსიებში, რომლებიც ამ ოფციას ასაბუთებენ, რაც გასაღების მატერიას ჩაგუბებს და ასოციაციის ველებს ინარჩუნებს.

სანამ დაეყრდნობით, დაადასტურეთ სინტაქსი ლოკალურ სახელმძღვანელოში, რადგან ოფცია ყველა გამოცემაში არ არის, და მის გარეშე ზოგადი მდგომარეობის სია სხვა გამონატანის მქონე სხვა ბრძანებაა. ძველ აწყობაზე ip xfrm state ბრძანების გაშვება იმის სანახავად, არსებობს თუ არა დროშა, ზუსტად ის შეცდომაა, რომელზეც ეს სიაა.

შემოწმება 3: ჩაწერეთ მხოლოდ ის, რაც გამოძიებას სჭირდება

ასოციაციის მდგომარეობა, ალგორითმები, სელექტორები, დროის ნიშნები, მიმართულება და შესაბამისი მრიცხველები ჩვეულებრივ საკმარისია. ანგარიშის იდენტობები, საჯარო მისამართები და შიდა ტოპოლოგია ხშირად არა, და მათი დაფარვა დიაგნოსტიკური ღირებულების დაკარგვის გარეშე შეიძლება.

ნაგულისხმევად დაფარეთ და მოთხოვნისას უკან დაამატეთ. თქვენი ბილეთის მკითხველს შეუძლია კიდევ ერთი ველი ითხოვოს, მაგრამ უკვე ჩასმული გასაღებისთვის თვალი დახუჭოს ვერ შეძლებს.

არსებობს შუალედური გზა, რომლის ცოდნა ღირს: შეჯამებაც შეიძლება მგრძნობიარე იყოს. იდენტობები, პარტნიორის მისამართები და შვილი SA-ების სახელები თქვენს ტოპოლოგიას აღწერს, და ზოგიერთ ორგანიზაციაში ეს თავისთავად შეზღუდული ინფორმაციაა. ჩასმამდე გადაწყვიტეთ, ვინ არის აუდიტორია, და საჯარო პრობლემის ნაცვლად ამჯობინეთ სწორი წვდომის კონტროლის მქონე არხი. უსაფრთხო ბრძანება არ არის იგივე, რაც უსაფრთხო დანიშნულება.

შემოწმება 4: დააკავშირეთ ერთი მცდელობა ორივე ბოლოზე

დააფიქსირეთ კლიენტი და კარიბჭე ერთი და იმავე კავშირის მცდელობისთვის, ერთსა და იმავე დროს, და დარწმუნდით, რომ ასოციაცია, რომელსაც აღწერთ, სწორედ ის არის, რაც ამ მცდელობამ შექმნა. წინა მცდელობის მოძველებული შვილი SA-ს ახალ მარშრუტულ სურათთან შერევა იძლევა ანგარიშს, რომელიც შიგნიდან თანმიმდევრული და სრულიად შეცდომაში შემყვანია.

იდენტიფიცირეთ ასოციაცია მისი უნიკალური იდენტიფიკატორებით და არა გვირაბით, და აღნიშნეთ წარუმატებლობის მიმართულება. თუ სიმპტომი ერთი მიმართულებით ტრაფიკის არარსებობაა, თქვით რომელი მიმართულება და დაამატეთ უვნებელი საცდელი დანიშნულება, რათა მკითხველმა გზაზე მსჯელობა შეძლოს და არა გამოცნობა. მრიცხველი, რომელიც ერთი მიმართულებით ნულია, ხოლო მეორეში იზრდება პრობლემას გაცილებით უკეთ ლოკალიზებს, ვიდრე ნებისმიერი გასაღების გამონატანი. შეინახეთ დროის ნიშნები ერთ დროის სარტყელში და თქვით რომელში.

შემოწმება 5: რა ვქნათ, თუ მატერია უკვე გამჟღავნდა

დანართის წაშლა არ ამტკიცებს, რომ არავის შეუნახავს ის, და საჯარო ჩასმა სწრაფად კოპირდება.

მოეპყარით ამას ინციდენტად და გამოიყენეთ ოპერატორის ჩანაცვლების პროცესი: მოატრიალეთ დაზარალებული გასაღებები ან რწმუნებულება, შეამოწმეთ, ნიშნავს თუ არა გამჟღავნება უფრო ფართო კომპრომისს, და მიჰყევით შესაბამის შეტყობინების გზას. ტექნიკური გაწმენდა ადვილი ნაწილია, ხოლო ვარაუდი, რომ არავის წაუკითხავს, რთული.

მდგრადი პრაქტიკა პატარა შაბლონია, რომელსაც ჩასმამდე ავსებთ: რომელი ბოლო, რომელი ასოციაციის იდენტიფიკატორი, რომელი მიმართულება, რომელი მრიცხველი და რა უკვე გამოირიცხა. swanctl list-sas-ის დოკუმენტაცია აღწერს შეჯამების ველებს, და სწორედ ეს სჭირდება უმეტეს ბილეთს. დანარჩენი ყველაფერი მოთხოვნისამებრ ხელმისაწვდომია მისთვის, ვისაც სჭირდება. დიაგნოსტიკური ანგარიში უნდა შეიცავდეს მტკიცებულებას და არა წვდომას.