Kā pārbaudīt IPsec stāvokli, nepublicejot tā atslēgas

IPsec stāvokļa izgājiens nav stāvokļa ziņojums, un tieši šāda attieksme noved pie tā, ka atslēgu materiāls nonāk publiskā problēmu izsekotājā. Daži kodola pārbaudes izvadi satur satiksmes atslēgas, ko kodols izmanto, kopā ar adresēm, selektoriem un skaitītājiem, kas patiešām ir noderīgi. Drošais ieradums ir vispirms savākt kopsavilkumu un pie neapstrādātā stāvokļa ķerties tikai tad, kad kopsavilkums nevar atbildēt uz jautājumu. Ja tomēr ir jāaplūko neapstrādātais stāvoklis, aplūkojiet to lokāli un dalieties ar kaut ko šaurāku.

Pārbaude 1: vai šis artefakts vispār var atstāt mašīnu

Konfigurācijas fails, privātā atslēga, neierobežota pakešu tveršana un neapstrādāts stāvokļa izgājiens visi ir noslēpumi, līdz tiek pierādīts pretējais. Komanda, kas izdrukā atslēgas, nekļūst droša tāpēc, ka jūs to palaidāt diagnostikai.

Noteikums ir pietiekami vienkāršs, lai to pateiktu vienā teikumā: dalieties ar novērojumu, kas atbild uz jautājumu, nevis ar mašīnas stāvokli, kas to radīja.

Pārbaude 2: izvēlieties kopsavilkuma komandu, nevis stāvokļa izgājienu

Attiecībā uz strongSwan swanctl --list-sas parāda asociācijas kopsavilkumu: identitātes, instalētās meitas SA, stāvokļus un skaitītājus. Tam nav vajadzīgs neapstrādātais atslēgu izgājiens, un tas ir pirmais, kas jāielīmē biļetē. Kodola pusē iproute2 atbalsta ip xfrm state list nokeys versijās, kurās šī opcija ir dokumentēta, kas nomāc atslēgu materiālu, vienlaikus saglabājot asociācijas laukus.

Pirms paļaujaties, apstipriniet sintaksi vietējā rokasgrāmatā, jo opcija nav katrā laidienā, un vispārīgs stāvokļa saraksts bez tās ir cita komanda ar citu izvadi. ip xfrm state palaišana vecā būvējumā, lai redzētu, vai karodziņš pastāv, ir tieši tā kļūda, par kuru ir šis kontrolsaraksts.

Pārbaude 3: pierakstiet tikai to, kas nepieciešams izmeklēšanai

Asociācijas statuss, algoritmi, selektori, laikspiedoli, virziens un attiecīgie skaitītāji parasti ir pietiekami. Kontu identitātes, publiskās adreses un iekšējā topoloģija bieži nav, un tos var rediģēt, nezaudējot diagnostisko vērtību.

Rediģējiet pēc noklusējuma un pievienojiet atpakaļ pēc pieprasījuma. Tas, kurš lasa jūsu biļeti, var lūgt vēl vienu lauku; taču ielīmētu atslēgu viņš nevar padarīt neredzētu.

Ir vidusceļš, ko vērts zināt: arī kopsavilkums var būt jutīgs. Identitātes, partnera adreses un meitas SA nosaukumi apraksta jūsu topoloģiju, un dažās organizācijās tas jau pats par sevi ir ierobežota informācija. Pirms līmēšanas izlemiet, kas ir auditorija, un dodiet priekšroku kanālam ar pareizu piekļuves kontroli, nevis publiskai problēmai. Droša komanda nav tas pats, kas drošs galamērķis.

Pārbaude 4: sasaistiet vienu mēģinājumu abos galos

Ierakstiet klientu un vārteju vienam un tam pašam savienojuma mēģinājumam vienā un tajā pašā laikā, un pārliecinieties, ka asociācija, kuru aprakstāt, ir tā, ko radīja šis mēģinājums. Novecojušas meitas SA no iepriekšējā mēģinājuma sajaukšana ar svaigu maršrutu uzņēmumu dod ziņojumu, kas ir iekšēji konsekvents un pilnīgi maldinošs.

Identificējiet asociāciju pēc tās unikālajiem identifikatoriem, nevis pēc tuneļa, un pierakstiet kļūmes virzienu. Ja simptoms ir satiksmes neesamība vienā virzienā, pasakiet, kurā, un iekļaujiet nekaitīgu testa galamērķi, lai lasītājs varētu spriest par ceļu, nevis minēt. Skaitītājs, kas vienā virzienā ir nulle, bet otrā pieaug lokalizē problēmu daudz labāk nekā jebkurš atslēgu izgājiens. Turiet laikspiedolus vienā laika joslā un pasakiet, kurā.

Pārbaude 5: ko darīt, ja materiāls jau ir atklāts

Pielikuma dzēšana nepierāda, ka neviens to nav saglabājis, un publiska ielīmēšana tiek ātri nokopēta.

Uztveriet to kā incidentu un izmantojiet operatora aizstāšanas procesu: rotējiet skartās atslēgas vai akreditācijas datus, pārbaudiet, vai atklāšana nozīmē plašāku kompromisu, un ievērojiet piemērojamo paziņošanas ceļu. Tehniskā tīrīšana ir vieglā daļa; pieņēmums, ka neviens to nav lasījis, ir grūtā daļa.

Noturīgā prakse ir maza veidne, ko aizpildāt pirms līmēšanas: kurš gals, kurš asociācijas identifikators, kurš virziens, kurš skaitītājs un kas jau ir izslēgts. swanctl list-sas dokumentācija apraksta kopsavilkuma laukus, un tas ir tas, kas lielākajai daļai biļešu patiešām vajadzīgs. Viss pārējais ir pieejams pēc pieprasījuma tam, kam tas vajadzīgs. Diagnostikas ziņojumā jābūt pierādījumiem, nevis piekļuvei.