IPsec абалын ачкычтарын жарыялабастан текшерүү жолу

IPsec абалынын түшүрмөсү абал тууралуу отчёт эмес, жана аны ошондой деп кароо ачкыч материалынын ачык маселе трекерине түшүү жолу. Ядрону текшерүүнүн айрым чыгыштары ядро колдонуп жаткан трафик ачкычтарын, ошондой эле чындап пайдалуу даректерди, селекторлорду жана эсептегичтерди камтыйт. Коопсуз адат — адегенде корутундуну жыйноо, ал эми чийки абалга корутунду суроого жооп бере албаганда гана кайрылуу. Эгер чийки абалды баары бир көрүү керек болсо, аны жергиликтүү карап, тарыраак нерсе менен бөлүшүңүз.

Текшерүү 1: бул артефакт машинадан такыр чыга алабы

Конфигурация файлы, жеке ачкыч, чектелбеген пакетти кармоо жана чийки абал түшүрмөсү — баары тескериси далилденмейинче сыр. Ачкычтарды басып чыгарган буйрук аны диагностика үчүн иштеткениңизден улам коопсуз болбойт.

Эреже бир сүйлөм менен айтууга жетиштүү жөнөкөй: суроого жооп берген байкоону бөлүшүңүз, аны жараткан машина абалын эмес.

Текшерүү 2: абал түшүрмөсүн эмес, корутунду буйругун тандаңыз

strongSwan үчүн swanctl --list-sas биригүү корутундусун көрсөтөт: идентификаторлор, орнотулган child SA-лар, абалдар жана эсептегичтер. Ал чийки ачкыч түшүрмөсүн талап кылбайт жана тикетке биринчи жабыштырылуучу нерсе — ошол. Ядро тарапта iproute2 бул опцияны документтеген версияларда ip xfrm state list nokeys колдойт, бул биригүү талааларын сактап, ачкыч материалын басат.

Ага таянбастан мурун жергиликтүү колдонмодон синтаксисти ырастаңыз, анткени опция ар бир чыгарылышта боло бербейт, ал эми ансыз жалпы абал тизмеси башка чыгышы бар башка буйрук. Эски курулушта ip xfrm state иштетип желек барбы-жокпу текшерүү — ушул текшерүү тизмеси айтып жаткан так ошол ката.

Текшерүү 3: тергөөгө керектүү нерсени гана жазыңыз

Биригүү абалы, алгоритмдер, селекторлор, убакыт белгилери, багыт жана тиешелүү эсептегичтер адатта жетиштүү. Эсеп идентификаторлору, ачык даректер жана ички топология көп учурда жетишсиз, жана аларды диагностикалык баалуулукту жоготпостон жашырууга болот.

Демейки боюнча жашырып, суроо боюнча кайра кошуңуз. Тикетиңизди окуган адам дагы бир талаа сурай алат, бирок жабыштырылган ачкычты көрбөгөндөй боло албайт.

Билүүгө татыктуу орто жол бар: корутундунун өзү да сезимтал болушу мүмкүн. Идентификаторлор, өнөктөш даректери жана child SA аттары сиздин топологияңызды сүрөттөйт, ал эми айрым уюмдарда бул өзү эле чектелген маалымат. Жабыштыруудан мурун көрүүчү ким экенин чечиңиз жана ачык маселеден көрө туура кирүү көзөмөлү бар каналды тандаңыз. Коопсуз буйрук коопсуз багытка барабар эмес.

Текшерүү 4: бир аракетти эки учта байланыштырыңыз

Бир туташуу аракети үчүн кардар менен шлюзди бир убакта түшүрүңүз жана сүрөттөп жаткан биригүү так ошол аракет жараткан нерсе экенине көз жеткириңиз. Мурунку аракеттин эскирген child SA-сын жаңы маршрут сүрөтү менен аралаштыруу ичтен ырааттуу жана толук адаштыруучу отчёт берет.

Биригүүнү туннель менен эмес, анын уникалдуу идентификаторлору менен аныктаңыз жана ийгиликсиздиктин багытын жазыңыз. Симптом бир багытта трафиктин жоктугу болсо, кайсы багыт экенин айтып, зыянсыз сыноо багытын кошуңуз, окуучу божомолдоонун ордуна жол тууралуу ойлоно алсын. Бир багытта нөлгө барабар, экинчисинде өсүп жаткан эсептегич маселени каалаган ачкыч түшүрмөсүнөн алда канча жакшы локалдаштырат. Убакыт белгилерин бир убакыт алкагында кармап, кайсы экенин айтыңыз.

Текшерүү 5: материал буга чейин ачылып калган болсо эмне кылуу керек

Тиркемени өчүрүү аны эч ким сактабаганын далилдебейт, ал эми ачык жабыштыруу тез көчүрүлөт.

Муну окуя катары карап, оператордун алмаштыруу процессин колдонуңуз: жабыркаган ачкычтарды же каттоо маалыматтарын айландырыңыз, ачылуу кененирээк бузууну билдиреби текшериңиз жана колдонулуучу эскертүү жолун карманыңыз. Техникалык тазалоо — жеңил бөлүгү, ал эми эч ким окуган жок деген божомол — кыйын бөлүгү.

Туруктуу тажрыйба — жабыштыруудан мурун толтурулуучу кичинекей үлгү: кайсы уч, кайсы биригүү идентификатору, кайсы багыт, кайсы эсептегич жана эмне буга чейин эсептен чыгарылды. swanctl list-sas документтери корутунду талааларын сүрөттөйт, жана көпчүлүк тикеттерге чындап ушул керек. Калганынын баары муктаж адамга суроо боюнча жеткиликтүү. Диагностикалык отчётто далил болушу керек, уруксат эмес.