IPsec күйін оның кілттерін жарияламай тексеру жолы
Бірлестік қорытындылары мен кілттері жасырылған тізімдер материалсыз-ақ күй береді. Ядроның шикі түсірілімі трафик кілттерін, мекенжайлар мен селекторларды алып жүруі мүмкін.
IPsec күйінің түсірілімі күй туралы есеп емес, және оны солай деп қарау кілт материалының ашық мәселе трекеріне түсу жолы. Ядро тексеруінің кейбір шығыстары ядро пайдаланып жатқан трафик кілттерін, сондай-ақ шынымен пайдалы мекенжайларды, селекторларды және санауыштарды қамтиды. Қауіпсіз әдет — алдымен қорытындыны жинау, ал шикі күйге қорытынды сұраққа жауап бере алмағанда ғана жүгіну. Егер шикі күйді бәрібір көру қажет болса, оны жергілікті жерде қарап, тар не нәрсемен бөлісіңіз.
Тексеру 1: бұл артефакт машинадан мүлдем шыға ала ма
Конфигурация файлы, жеке кілт, шектеусіз пакет түсіру және шикі күй түсірілімі — бәрі керісінше дәлелденгенше құпия. Кілттерді басып шығаратын команда оны диагностика үшін іске қосқаныңыздан қауіпсіз бола қоймайды.
Ереже бір сөйлеммен айтуға жеткілікті қарапайым: сұраққа жауап беретін байқауды бөлісіңіз, оны тудырған машина күйін емес.
Тексеру 2: күй түсірілімін емес, қорытынды командасын таңдаңыз
strongSwan үшін swanctl --list-sas бірлестік қорытындысын көрсетеді: сәйкестіктер, орнатылған child SA-лар, күйлер және санауыштар. Ол шикі кілт түсірілімін қажет етпейді және тикетке бірінші жабыстырылатын нәрсе — осы. Ядро жағында iproute2 осы опцияны құжаттайтын нұсқаларда ip xfrm state list nokeys қолдайды, бұл бірлестік өрістерін сақтай отырып кілт материалын басады.
Оған сүйенбес бұрын жергілікті нұсқаулықта синтаксисті растаңыз, өйткені опция әр шығарылымда бола бермейді, ал онсыз жалпы күй тізімі басқа шығысы бар басқа команда. Ескі құрастырылымда ip xfrm state іске қосып жалаушаның бар-жоғын тексеру — осы тексеру тізімі айналысатын дәл сол қате.
Тексеру 3: тек тергеуге қажет нәрсені жазыңыз
Бірлестік күйі, алгоритмдер, селекторлар, уақыт белгілері, бағыт және тиісті санауыштар әдетте жеткілікті. Тіркелгі сәйкестіктері, ашық мекенжайлар және ішкі топология жиі жеткіліксіз, және оларды диагностикалық құндылықты жоғалтпай жасыруға болады.
Әдепкі бойынша жасырып, сұраныс бойынша қайта қосыңыз. Тикетіңізді оқыған адам тағы бір өріс сұрай алады, бірақ жабыстырылған кілтті көрмегендей бола алмайды.
Білуге тұрарлық аралық жол бар: қорытындының өзі де сезімтал болуы мүмкін. Сәйкестіктер, серіктес мекенжайлары және child SA атаулары сіздің топологияңызды сипаттайды, ал кейбір ұйымдарда бұл өзі шектеулі ақпарат. Жабыстырмас бұрын көрермен кім екенін шешіңіз және ашық мәселеден гөрі дұрыс қатынау бақылауы бар арнаны таңдаңыз. Қауіпсіз команда қауіпсіз межеге тең емес.
Тексеру 4: бір әрекетті екі шетте байланыстырыңыз
Бір қосылым әрекеті үшін клиент пен шлюзді бір уақытта түсіріңіз және сипаттап отырған бірлестіктің дәл сол әрекет тудырғанына көз жеткізіңіз. Алдыңғы әрекеттің ескірген child SA-сын жаңа маршрут суретімен араластыру іштей үйлесімді әрі толық жаңылыстыратын есеп береді.
Бірлестікті туннель бойынша емес, оның бірегей идентификаторлары бойынша анықтаңыз және сәтсіздік бағытын жазыңыз. Симптом бір бағытта трафиктің жоқтығы болса, қай бағыт екенін айтып, зиянсыз сынақ межесін қосыңыз, оқырман болжаудың орнына жол туралы ойлана алсын. Бір бағытта нөлге тең, екіншісінде өсіп келе жатқан санауыш мәселені кез келген кілт түсірілімінен әлдеқайда жақсы оқшаулайды. Уақыт белгілерін бір уақыт белдеуінде ұстап, қайсысы екенін айтыңыз.
Тексеру 5: материал әлдеқашан ашылған болса не істеу керек
Тіркемені жою оны ешкім сақтамағанын дәлелдемейді, ал ашық жабыстыру тез көшіріледі.
Мұны оқиға ретінде қарап, оператордың алмастыру процесін пайдаланыңыз: зардап шеккен кілттерді немесе тіркелгі деректерін айналдырыңыз, әшкерелеу кеңірек бұзуға ұқсайтынын тексеріңіз және қолданылатын хабарлау жолын ұстаныңыз. Техникалық тазарту — оңай бөлігі, ал ешкім оқымады деген болжам — қиын бөлігі.
Тұрақты тәжірибе — жабыстырмас бұрын толтыратын шағын үлгі: қай шет, қай бірлестік идентификаторы, қай бағыт, қай санауыш және не әлдеқашан алынып тасталды. swanctl list-sas құжаттамасы қорытынды өрістерін сипаттайды, және көптеген тикетке шын мәнінде осы қажет. Қалғанының бәрі мұқтаж адамға сұраныс бойынша қолжетімді. Диагностикалық есепте дәлел болуы керек, рұқсат емес.