Korleis granske IPsec-tilstanden utan å publisere nøklane

Ein IPsec-tilstandsdump er ikkje ein statusrapport, og å handsame han som ein er nettopp måten nøkkelmateriale hamnar i ein offentleg feilsporar. Nokre utdata frå kjerneinspeksjon inneheld trafiksnøklane kjernen brukar, saman med adresser, selektorar og teljarar som verkeleg er nyttige. Den trygge vanen er å samle samandraget først og berre gripe til den rå tilstanden når samandraget ikkje kan svare på spørsmålet. Viss du likevel må sjå på den rå tilstanden, sjå på han lokalt og del noko smalare.

Sjekk 1: kan denne artefakten i det heile teke forlate maskinen

Ei konfigurasjonsfil, ein privat nøkkel, ein ubegrensa pakkefangst og ein rå tilstandsdump er alle hemmelege til det motsette er prova. Ein kommando som skriv ut nøklar vert ikkje trygg av at du køyrde han for diagnostikk.

Regelen er enkel nok til å seie i éi setning: del observasjonen som svarar på spørsmålet, ikkje maskintilstanden som skapte han.

Sjekk 2: vel samandragskommandoen, ikkje tilstandsdumpen

For strongSwan viser swanctl --list-sas assosiasjonssamandraget: identitetar, installerte child-SA-ar, tilstandar og teljarar. Han krev ikkje den rå nøkkeldumpen, og det er det første du bør lime inn i ei sak. På kjernesida støttar iproute2 ip xfrm state list nokeys på versjonar som dokumenterer valet, noko som undertrykkjer nøkkelmateriale medan assosiasjonsfelta vert haldne.

Stadfest syntaksen i den lokale handboka før du stolar på han, fordi valet finst ikkje i kvar utgåve, og ei generell tilstandsliste utan det er ein annan kommando med anna utdata. Å køyre ip xfrm state på eit gammalt bygg for å sjå om flagget finst er nettopp feilen denne sjekklista handlar om.

Sjekk 3: noter berre det granskinga treng

Assosiasjonsstatus, algoritmar, selektorar, tidsstempel, retning og dei relevante teljarane er vanlegvis nok. Kontoidentitetar, offentlege adresser og intern topologi er det ofte ikkje, og dei kan sladdast utan å miste diagnostisk verdi.

Sladd som standard og legg tilbake på førespurnad. Den som les saka di, kan be om eitt felt til; men han kan ikkje gjere ein limt inn nøkkel usett.

Det finst ein mellomveg det er verdt å kjenne: eit samandrag kan framleis vere følsamt. Identitetar, peer-adresser og child-namn skildrar topologien din, og i nokre organisasjonar er det i seg sjølv avgrensa informasjon. Bestem kven publikum er før du limer inn, og føretrekk ein kanal med rett tilgangskontroll framfor ei offentleg sak. Ein trygg kommando er ikkje det same som ein trygg destinasjon.

Sjekk 4: korrelér eitt forsøk i begge endar

Tak opp klienten og gatewayen for det same tilkoplingsforsøket, samstundes, og forsikre deg om at assosiasjonen du skildrar, er den forsøket produserte. Å blande ein utdatert child-SA frå eit tidlegare forsøk med eit ferskt rutesnapshot gjev ein rapport som er internt konsistent og fullstendig misvisande.

Identifiser assosiasjonen etter dei unike identifikatorane hans og ikkje etter tunnelen, og noter retninga på feilen. Viss symptomet er ingen trafikk i éi retning, seie kva retning og ta med ein ufarleg testdestinasjon, slik at lesaren kan resonnere om stien i staden for å gjette. Ein teljar som er null i éi retning og stig i den andre lokaliserer problemet mykje betre enn nokon nøkkeldump. Hald tidsstempla i éi tidssone og seie kva.

Sjekk 5: kva du skal gjere viss materialet alt er eksponert

Å slette vedlegget beviser ikkje at ingen har teke vare på det, og ein offentleg innliming vert kopiert raskt.

Handsam det som ei hending og bruk utskiftingsprosessen til operatøren: roter dei råka nøklane eller påloggingsdetaljane, sjekk om eksponeringa inneber eit breiare kompromiss, og følg den varslingsvegen som gjeld. Den tekniske oppryddinga er den enkle delen; antakinga om at ingen har lese det, er den vanskelege.

Den varige praksisen er ein liten mal du fyller ut før du limer inn: kva ende, kva assosiasjonsidentifikator, kva retning, kva teljar og kva som alt er utelukka. dokumentasjonen for swanctl list-sas skildrar samandragsfelta, og det er det dei fleste saker faktisk treng. Alt anna er tilgjengeleg på førespurnad for den som treng det. Ein diagnostisk rapport bør innehalde bevis, ikkje tilgang.