IPsec-ийн төлөвийг түлхүүрүүдийг нь нийтлэхгүйгээр шалгах арга

IPsec-ийн төлөвийн дэмп нь төлөвийн тайлан биш бөгөөд үүнийг тийм гэж үзэх нь түлхүүрийн материал нийтийн асуудлын tracker-т орох зам юм. Цөмийн шалгалтын зарим гаралт нь цөмийн ашиглаж буй трафикийн түлхүүрүүдийг, мөн үнэхээр ашигтай хаяг, сонгогч, тоолуурыг агуулдаг. Аюулгүй зуршил нь эхлээд хураангуйг цуглуулж, хураангуй асуултад хариулж чадахгүй үед л түүхий төлөв рүү хандах явдал юм. Хэрэв түүхий төлөвийг заавал үзэх бол, локалаар үзэж, илүү нарийн зүйлийг хуваалцаарай.

Шалгалт 1: энэ артефакт машинаас ер нь гарч чадах уу

Тохиргооны файл, хувийн түлхүүр, хязгааргүй пакет барих, түүхий төлөвийн дэмп нь эсрэгээр нь батлах хүртэл бүгд нууц. Түлхүүр хэвлэдэг команд нь та үүнийг оношлогоонд ажиллуулсан гэдгээр аюулгүй болохгүй.

Дүрэм нэг өгүүлбэрээр хэлэхэд хангалттай энгийн: асуултад хариулж буй ажиглалтыг хуваалц, түүнийг бүтээсэн машины төлөвийг биш.

Шалгалт 2: төлөвийн дэмп биш, хураангуйн команд сонго

strongSwan-ийн хувьд swanctl --list-sas холбооны хураангуйг харуулна: таних мэдээлэл, суулгасан child SA, төлөв болон тоолуур. Энэ нь түүхий түлхүүрийн дэмп шаарддаггүй бөгөөд тикетэд хамгийн түрүүнд наах зүйл нь энэ. Цөмийн талд iproute2 энэ сонголтыг баримтжуулсан хувилбаруудад ip xfrm state list nokeys командыг дэмждэг бөгөөд энэ нь холбооны талбаруудыг хадгалан түлхүүрийн материалыг дардаг.

Найдвартай байхаас өмнө локал гарын авлагаас синтаксийг баталгаажуулаарай, учир нь энэ сонголт бүх хувилбарт байхгүй, түүнгүйгээр ердийн төлөвийн жагсаалт нь өөр гаралттай өөр команд юм. Хуучин бүтээц дээр ip xfrm state ажиллуулж тугийг байгаа эсэхийг шалгах нь энэ шалгах хуудасны тухай ярьж буй яг тэр алдаа.

Шалгалт 3: мөрдөн байцаалтад хэрэгтэй зүйлийг л тэмдэглэ

Холбооны төлөв, алгоритм, сонгогч, цагийн тэмдэг, чиглэл болон холбогдох тоолуур ихэвчлэн хангалттай. Бүртгэлийн таних мэдээлэл, нийтийн хаяг, дотоод топологи ихэвчлэн хангалтгүй бөгөөд оношлогооны үнэ цэнийг алдалгүйгээр далдлах боломжтой.

Анхдагчаар далдалж, хүсэлтээр буцааж нэм. Таны тикетийг уншиж буй хүн дахин нэг талбар хүсч болно; гэхдээ наасан түлхүүрийг үзээгүй болгож чадахгүй.

Мэдэх нь зүйтэй дунд зам бий: хураангуй нь өөрөө ч мэдрэмтгий байж болно. Таних мэдээлэл, хамтрагчийн хаяг, child SA-ийн нэр таны топологийг дүрсэлдэг бөгөөд зарим байгууллагад энэ нь өөрөө хязгаарлагдмал мэдээлэл. Наахаас өмнө үзэгчид хэн болохыг шийдэж, нийтийн асуудлаас илүү зөв хандалтын хяналт бүхий сувгийг сонго. Аюулгүй команд нь аюулгүй очих газартай ижил биш.

Шалгалт 4: нэг оролдлогыг хоёр төгсгөлд холбо

Нэг холболтын оролдлогын хувьд клиент болон гарцыг нэгэн зэрэг барьж, таны дүрсэлж буй холбоо нь тэр оролдлогоос үүссэн эсэхийг баталгаажуул. Өмнөх оролдлогын хуучирсан child SA-г шинэ маршрутын зурагтай холих нь дотооддоо уялдаатай боловч бүрэн төөрөгдүүлсэн тайлан гаргана.

Холбоог туннелээр биш, түүний өвөрмөц танигчаар тодорхойлж, бүтэлгүйтлийн чиглэлийг тэмдэглэ. Шинж тэмдэг нь нэг чиглэлд трафик байхгүй байх нь бол, аль чиглэл гэдгийг хэлж, хоргүй туршилтын очих газрыг нэм, уншигч таамаглахын оронд замын талаар бодох боломжтой болно. Нэг чиглэлд тэг, нөгөө чиглэлд өсөж буй тоолуур асуудлыг ямар ч түлхүүрийн дэмпээс хамаагүй сайн локалчлана. Цагийн тэмдгийг нэг цагийн бүсэд бариад, аль бүс гэдгийг хэл.

Шалгалт 5: материал аль хэдийн ил болсон бол юу хийх вэ

Хавсралтыг устгах нь хэн ч үүнийг хадгалаагүй гэдгийг батлахгүй бөгөөд нийтийн наалт хурдан хуулагддаг.

Үүнийг хэрэг явдал гэж үзэж, операторын солих процессыг ашигла: өртсөн түлхүүр эсвэл итгэмжлэлийг эргүүлж, ил болсон нь илүү өргөн зөрчил гэсэн үг эсэхийг шалгаж, хамаарах мэдэгдлийн замыг дага. Техникийн цэвэрлэгээ нь хялбар хэсэг; хэн ч уншаагүй гэсэн таамаг нь хүнд хэсэг.

Тогтвортой практик нь наахаас өмнө бөглөх жижиг загвар: аль төгсгөл, аль холбооны танигч, аль чиглэл, аль тоолуур, юу аль хэдийн хасагдсан. swanctl list-sas баримт бичиг хураангуйн талбаруудыг дүрсэлдэг бөгөөд ихэнх тикетэд үнэхээр хэрэгтэй зүйл нь энэ. Бусад бүх зүйл хэрэгтэй хүнд хүсэлтээр боломжтой. Оношлогооны тайланд нотолгоо байх ёстой, хандалт биш.