Cara memeriksa keadaan IPsec tanpa menerbitkan kuncinya

Dump keadaan IPsec bukan laporan status, dan memperlakukannya sebagai satu ialah cara bahan kunci berakhir dalam penjejak isu awam. Sesetengah output pemeriksaan kernel mengandungi kunci trafik yang digunakan kernel, bersama alamat, pemilih dan pembilang yang benar-benar berguna. Kebiasaan selamat ialah kumpulkan ringkasan dahulu dan hanya mencapai keadaan mentah apabila ringkasan tidak dapat menjawab soalan. Jika anda tetap perlu melihat keadaan mentah, lihat secara setempat dan kongsi sesuatu yang lebih sempit.

Semakan 1: bolehkah artifak ini meninggalkan mesin sama sekali

Fail konfigurasi, kunci peribadi, tangkapan paket tanpa had dan dump keadaan mentah semuanya rahsia sehingga dibuktikan sebaliknya. Arahan yang mencetak kunci tidak menjadi selamat kerana anda menjalankannya untuk diagnostik.

Peraturannya cukup mudah untuk disebut dalam satu ayat: kongsi pemerhatian yang menjawab soalan, bukan keadaan mesin yang menghasilkannya.

Semakan 2: pilih arahan ringkasan, bukan dump keadaan

Untuk strongSwan swanctl --list-sas memaparkan ringkasan persatuan: identiti, child SA yang dipasang, keadaan dan pembilang. Ia tidak memerlukan dump kunci mentah dan ia adalah perkara pertama yang perlu ditampal dalam tiket. Di sisi kernel, iproute2 menyokong ip xfrm state list nokeys pada versi yang mendokumenkan pilihan ini, yang menahan bahan kunci sambil mengekalkan medan persatuan.

Sahkan sintaks dalam manual setempat sebelum bergantung padanya, kerana pilihan ini tidak ada dalam setiap keluaran, dan senarai keadaan umum tanpanya ialah arahan lain dengan output berbeza. Menjalankan ip xfrm state pada binaan lama untuk melihat sama ada bendera itu wujud ialah tepat kesilapan yang dibincangkan senarai semak ini.

Semakan 3: catat hanya apa yang diperlukan siasatan

Keadaan persatuan, algoritma, pemilih, cap masa, arah dan pembilang berkaitan biasanya memadai. Identiti akaun, alamat awam dan topologi dalaman selalunya tidak, dan ia boleh disunting tanpa kehilangan nilai diagnostik.

Sunting secara lalai dan tambah semula apabila diminta. Orang yang membaca tiket anda boleh meminta satu medan lagi; tetapi dia tidak boleh membuat kunci yang telah ditampal tidak kelihatan.

Ada jalan tengah yang wajar diketahui: ringkasan pun boleh menjadi sensitif. Identiti, alamat rakan dan nama child SA menerangkan topologi anda, dan dalam sesetengah organisasi itu sendiri sudah menjadi maklumat terhad. Tentukan siapa audiens sebelum menampal, dan utamakan saluran dengan kawalan akses yang betul berbanding isu awam. Arahan yang selamat bukanlah sama dengan destinasi yang selamat.

Semakan 4: kaitkan satu percubaan pada kedua-dua hujung

Tangkap klien dan get laluan untuk percubaan sambungan yang sama, pada masa yang sama, dan pastikan persatuan yang anda terangkan ialah yang dihasilkan percubaan itu. Mencampurkan child SA lama daripada percubaan terdahulu dengan petikan laluan yang baharu menghasilkan laporan yang konsisten dalaman dan sepenuhnya mengelirukan.

Kenal pasti persatuan melalui pengecam uniknya, bukan melalui terowong, dan catat arah kegagalan. Jika gejalanya tiada trafik dalam satu arah, sebut arah mana dan sertakan destinasi ujian yang tidak berbahaya, supaya pembaca boleh menaakul laluan itu dan bukan meneka. Pembilang yang sifar dalam satu arah dan meningkat dalam arah yang lain menyetempatkan masalah jauh lebih baik daripada mana-mana dump kunci. Simpan cap masa dalam satu zon waktu dan sebut yang mana.

Semakan 5: apa yang perlu dilakukan jika bahan sudah terdedah

Memadam lampiran tidak membuktikan tiada siapa menyimpannya, dan tampalan awam disalin dengan pantas.

Layan ini sebagai insiden dan gunakan proses penggantian operator: putar kunci atau kelayakan yang terjejas, semak sama ada pendedahan itu bermaksud kompromi yang lebih luas, dan ikuti laluan pemberitahuan yang berkenaan. Pembersihan teknikal ialah bahagian yang mudah; andaian bahawa tiada siapa membacanya ialah bahagian yang sukar.

Amalan yang kekal ialah templat kecil yang anda isi sebelum menampal: hujung mana, pengecam persatuan mana, arah mana, pembilang mana dan apa yang telah dikecualikan. dokumentasi swanctl list-sas menerangkan medan ringkasan, dan itulah yang sebenarnya diperlukan kebanyakan tiket. Selebihnya tersedia atas permintaan kepada sesiapa yang memerlukannya. Laporan diagnostik sepatutnya mengandungi bukti, bukan akses.