की प्रकाशित न करता IPsec ची स्थिती कशी तपासावी

IPsec स्थितीचा डंप स्टेटस अहवाल नाही, आणि त्याला तसे मानणे हाच तो मार्ग ज्यामुळे की सामग्री सार्वजनिक समस्या ट्रॅकरमध्ये जाते। कर्नेल तपासणीच्या काही आउटपुटमध्ये कर्नेल वापरत असलेल्या ट्रॅफिक की, तसेच खरोखर उपयुक्त पत्ते, निवडक आणि काउंटर असतात। सुरक्षित सवय अशी आहे की आधी सारांश गोळा करा आणि सारांश प्रश्नाचे उत्तर देऊ शकत नसेल तेव्हाच कच्च्या स्थितीकडे वळा। कच्ची स्थिती पाहावीच लागली तर ती स्थानिक पातळीवर पहा आणि अधिक संकुचित काहीतरी सामायिक करा।

तपासणी 1: हा कलाकृती मशीनमधून बाहेर पडू शकतो का

कॉन्फिगरेशन फाइल, खाजगी की, अमर्यादित पॅकेट कॅप्चर आणि कच्चा स्थिती डंप हे सर्व उलटे सिद्ध होईपर्यंत गुप्त आहेत। की छापणारा आदेश निदानासाठी चालवला या कारणाने सुरक्षित होत नाही।

नियम एका वाक्यात सांगण्याइतका सोपा आहे: प्रश्नाचे उत्तर देणारे निरीक्षण सामायिक करा, ते निर्माण करणारी मशीन स्थिती नाही।

तपासणी 2: स्थिती डंप नाही, सारांश आदेश निवडा

strongSwan साठी swanctl --list-sas असोसिएशनचा सारांश दाखवतो: ओळखी, स्थापित चाइल्ड SA, स्थिती आणि काउंटर। याला कच्च्या की डंपची गरज नसते, आणि तिकिटात सर्वात आधी हेच चिकटवायचे असते। कर्नेलच्या बाजूला, हा पर्याय दस्तऐवजीकरण करणाऱ्या आवृत्त्यांमध्ये iproute2 ip xfrm state list nokeys ला समर्थन देतो, जे असोसिएशन फील्ड टिकवून की सामग्री दाबते।

यावर अवलंबून राहण्यापूर्वी स्थानिक पुस्तिकेत वाक्यरचना तपासा, कारण पर्याय प्रत्येक आवृत्तीत नसतो, आणि त्याशिवाय सामान्य स्थिती यादी वेगळे आउटपुट असलेला वेगळा आदेश आहे। जुन्या बिल्डवर ip xfrm state चालवून फ्लॅग आहे का हे पाहणे ही या तपासणी यादीतील अचूक चूक आहे।

तपासणी 3: तपासणीस जे लागते तेच नोंदवा

असोसिएशन स्थिती, अल्गोरिदम, निवडक, टाइमस्टॅम्प, दिशा आणि संबंधित काउंटर सामान्यतः पुरतात। खाते ओळखी, सार्वजनिक पत्ते आणि अंतर्गत टोपोलॉजी बऱ्याचदा पुरत नाहीत, आणि निदान मूल्य न गमावता ती लपवता येतात।

डीफॉल्टनुसार लपवा आणि विनंतीनुसार पुन्हा जोडा। तुमचे तिकीट वाचणारी व्यक्ती आणखी एक फील्ड मागू शकते; पण चिकटवलेली की तिला न पाहिल्यासारखी करता येत नाही।

जाणून घेण्यासारखा मधला मार्ग आहे: सारांशही संवेदनशील असू शकतो। ओळखी, समवेत पत्ते आणि चाइल्ड SA नावे तुमची टोपोलॉजी सांगतात, आणि काही संस्थांमध्ये ही स्वतःच मर्यादित माहिती असते। चिकटवण्यापूर्वी प्रेक्षक कोण आहे हे ठरवा, आणि सार्वजनिक समस्येपेक्षा योग्य प्रवेश नियंत्रण असलेल्या माध्यमाला पसंती द्या। सुरक्षित आदेश सुरक्षित गंतव्यासारखा नसतो।

तपासणी 4: एक प्रयत्न दोन्ही टोकांवर जोडा

एकाच कनेक्शन प्रयत्नासाठी क्लायंट आणि गेटवे एकाच वेळी टिपा, आणि तुम्ही वर्णन करत असलेले असोसिएशन त्या प्रयत्नाने तयार केलेलेच आहे याची खात्री करा। पूर्वीच्या प्रयत्नातील जुने चाइल्ड SA नव्या मार्ग स्नॅपशॉटसोबत मिसळल्यास आतून सुसंगत पण पूर्णपणे दिशाभूल करणारा अहवाल तयार होतो।

असोसिएशन टनेलने नव्हे तर त्याच्या अद्वितीय ओळखकर्त्यांनी ओळखा, आणि अपयशाची दिशा नोंदवा। लक्षण एका दिशेने ट्रॅफिक नसणे असेल, तर कोणती दिशा ते सांगा आणि निरुपद्रवी चाचणी गंतव्य जोडा, जेणेकरून वाचक अंदाज न करता मार्गाचा विचार करू शकेल। एका दिशेने शून्य आणि दुसऱ्या दिशेने वाढणारा काउंटर समस्येचे स्थान कोणत्याही की डंपपेक्षा खूप चांगले निश्चित करतो। टाइमस्टॅम्प एकाच कालविभागात ठेवा आणि कोणत्या ते सांगा।

तपासणी 5: सामग्री आधीच उघड झाली असेल तर काय करावे

जोडपत्र हटवल्याने कोणीही ते ठेवले नाही हे सिद्ध होत नाही, आणि सार्वजनिक चिकटवणे लवकर नकलते।

हे घटना म्हणून घ्या आणि ऑपरेटरची बदली प्रक्रिया वापरा: बाधित की किंवा ओळखपत्रे फिरवा, उघड होणे व्यापक तडजोडीचे लक्षण आहे का ते तपासा, आणि लागू असलेला सूचना मार्ग अनुसरा। तांत्रिक स्वच्छता सोपा भाग आहे; कोणीही ते वाचले नाही हे गृहीतक कठीण भाग आहे।

टिकाऊ सराव म्हणजे चिकटवण्यापूर्वी भरायचा छोटा नमुना: कोणते टोक, कोणता असोसिएशन ओळखकर्ता, कोणती दिशा, कोणता काउंटर आणि काय आधीच वगळले आहे। swanctl list-sas चे दस्तऐवज सारांश फील्डचे वर्णन करतात, आणि बहुतेक तिकिटांना खरेच याचीच गरज असते। बाकी सर्व ज्याला गरज आहे त्याच्या विनंतीनुसार उपलब्ध आहे। निदान अहवालात पुरावा असावा, प्रवेश नाही।