कुञ्जीहरू प्रकाशित नगरी IPsec को अवस्था कसरी जाँच्ने

IPsec अवस्थाको डम्प स्थिति प्रतिवेदन होइन, र यसलाई त्यसै गरी लिनु नै त्यो बाटो हो जसले कुञ्जी सामग्री सार्वजनिक समस्या ट्र्याकरमा पुर्याउँछ। कर्नेल निरीक्षणका केही आउटपुटमा कर्नेलले प्रयोग गरिरहेका ट्राफिक कुञ्जीहरू, साथै साँच्चै उपयोगी ठेगाना, चयनकर्ता र काउन्टरहरू हुन्छन्। सुरक्षित बानी भनेको पहिले सारांश जम्मा गर्ने र सारांशले प्रश्नको जवाफ दिन नसकेको अवस्थामा मात्र कच्चा अवस्थातर्फ जाने हो। कच्चा अवस्था हेर्नै परे, स्थानीय रूपमा हेर्नुहोस् र अझ साँघुरो कुरा साझा गर्नुहोस्।

जाँच 1: के यो कलाकृति मेसिनबाट बाहिर निस्कन सक्छ

कन्फिगरेसन फाइल, निजी कुञ्जी, असीमित प्याकेट क्याप्चर र कच्चा अवस्था डम्प सबै विपरीत प्रमाणित नभएसम्म गोप्य हुन्। कुञ्जी छाप्ने आदेश निदानका लागि चलाइयो भनेर सुरक्षित हुँदैन।

नियम एक वाक्यमा भन्न सकिने गरी सरल छ: प्रश्नको जवाफ दिने अवलोकन साझा गर्नुहोस्, त्यो उत्पन्न गर्ने मेसिन अवस्था होइन।

जाँच 2: अवस्था डम्प होइन, सारांश आदेश छान्नुहोस्

strongSwan का लागि swanctl --list-sas एसोसिएसनको सारांश देखाउँछ: पहिचान, स्थापित चाइल्ड SA, अवस्था र काउन्टर। यसलाई कच्चा कुञ्जी डम्प चाहिँदैन, र टिकटमा सबैभन्दा पहिले टाँस्नुपर्ने यही हो। कर्नेलतर्फ, यो विकल्प कागजात गर्ने संस्करणहरूमा iproute2 ले ip xfrm state list nokeys लाई समर्थन गर्छ, जसले एसोसिएसनका फिल्ड कायम राख्दै कुञ्जी सामग्री दबाउँछ।

यसमा भर पर्नुअघि स्थानीय पुस्तिकामा वाक्यरचना पुष्टि गर्नुहोस्, किनकि विकल्प हरेक रिलिजमा हुँदैन, र त्यो बिनाको सामान्य अवस्था सूची फरक आउटपुट भएको फरक आदेश हो। पुरानो बिल्डमा ip xfrm state चलाएर झन्डा छ कि छैन हेर्नु यही जाँचसूचीको विषय भएको ठ्याक्कै गल्ती हो।

जाँच 3: अनुसन्धानलाई चाहिने कुरा मात्र लेख्नुहोस्

एसोसिएसन अवस्था, एल्गोरिदम, चयनकर्ता, समयछाप, दिशा र सम्बन्धित काउन्टर सामान्यतया पर्याप्त हुन्छन्। खाता पहिचान, सार्वजनिक ठेगाना र आन्तरिक टोपोलोजी प्रायः पर्याप्त हुँदैनन्, र निदान मूल्य नगुमाई ती लुकाउन सकिन्छ।

पूर्वनिर्धारित रूपमा लुकाउनुहोस् र अनुरोधमा फेरि थप्नुहोस्। तपाईंको टिकट पढ्ने व्यक्तिले अर्को एउटा फिल्ड माग्न सक्छ; तर टाँसिएको कुञ्जी नदेखेजस्तो गर्न सक्दैन।

जान्न लायक एउटा मध्यमार्ग छ: सारांश पनि संवेदनशील हुन सक्छ। पहिचान, सहकर्मी ठेगाना र चाइल्ड SA का नामले तपाईंको टोपोलोजी वर्णन गर्छन्, र केही संस्थामा त्यो आफैंमा सीमित जानकारी हो। टाँस्नुअघि दर्शक को हो भनेर निर्णय गर्नुहोस्, र सार्वजनिक समस्याभन्दा उपयुक्त पहुँच नियन्त्रण भएको माध्यम रोज्नुहोस्। सुरक्षित आदेश सुरक्षित गन्तव्यसरह हुँदैन।

जाँच 4: एउटै प्रयासलाई दुवै छेउमा जोड्नुहोस्

एउटै जडान प्रयासका लागि क्लाइन्ट र गेटवे एकै समयमा कैद गर्नुहोस्, र तपाईंले वर्णन गरिरहेको एसोसिएसन त्यही प्रयासले बनाएको हो भन्ने निश्चित गर्नुहोस्। अघिल्लो प्रयासको पुरानो चाइल्ड SA लाई नयाँ मार्ग स्न्यापसटसँग मिसाउँदा भित्री रूपमा सुसंगत तर पूर्ण भ्रमित पार्ने प्रतिवेदन बन्छ।

एसोसिएसनलाई सुरुङले होइन, यसका अद्वितीय पहिचानकर्ताले चिन्नुहोस्, र असफलताको दिशा लेख्नुहोस्। लक्षण एउटा दिशामा ट्राफिक नहुनु हो भने, कुन दिशा हो भन्नुहोस् र हानिरहित परीक्षण गन्तव्य थप्नुहोस्, ताकि पाठकले अनुमान गर्नुको सट्टा मार्गबारे सोच्न सकोस्। एक दिशामा शून्य र अर्को दिशामा बढ्दै गएको काउन्टर ले समस्यालाई कुनै पनि कुञ्जी डम्पभन्दा धेरै राम्रोसँग स्थानीयकृत गर्छ। समयछापहरू एउटै समय क्षेत्रमा राख्नुहोस् र कुन हो भन्नुहोस्।

जाँच 5: सामग्री पहिले नै खुलासा भइसकेको भए के गर्ने

संलग्नता मेटाउँदा कसैले राखेन भन्ने प्रमाणित हुँदैन, र सार्वजनिक टाँसो छिटो प्रतिलिपि हुन्छ।

यसलाई घटनाका रूपमा लिनुहोस् र अपरेटरको प्रतिस्थापन प्रक्रिया प्रयोग गर्नुहोस्: प्रभावित कुञ्जी वा प्रमाणहरू घुमाउनुहोस्, खुलासाले फराकिलो सम्झौता संकेत गर्छ कि जाँच्नुहोस्, र लागू हुने सूचना मार्ग पछ्याउनुहोस्। प्राविधिक सफाइ सजिलो भाग हो; कसैले पढेन भन्ने अनुमान कठिन भाग हो।

टिकाउ अभ्यास भनेको टाँस्नुअघि भरिने सानो टेम्प्लेट हो: कुन छेउ, कुन एसोसिएसन पहिचानकर्ता, कुन दिशा, कुन काउन्टर र के पहिले नै बाहिर राखिएको छ। swanctl list-sas को कागजात ले सारांश फिल्ड वर्णन गर्छ, र अधिकांश टिकटलाई साँच्चै यही चाहिन्छ। बाँकी सबै चाहिने व्यक्तिलाई अनुरोधमा उपलब्ध छ। निदान प्रतिवेदनमा प्रमाण हुनुपर्छ, पहुँच होइन।