Paano siyasatin ang estado ng IPsec nang hindi inilalathala ang mga susi nito

Ang dump ng estado ng IPsec ay hindi ulat ng estado, at ang ituring itong ganoon ang siyang daan kung paano napupunta ang materyal ng susi sa isang pampublikong tagasubaybay ng problema. Ang ilang output ng inspeksyon ng kernel ay naglalaman ng mga susi ng trapikong ginagamit ng kernel, kasama ang mga address, selektor at kontador na talagang kapaki-pakinabang. Ang ligtas na ugali ay kolektahin muna ang buod at kunin lamang ang hilaw na estado kapag hindi kayang sagutin ng buod ang tanong. Kung talagang kailangan mong tingnan ang hilaw na estado, tingnan ito nang lokal at magbahagi ng mas makitid na bagay.

Pagsusuri 1: kaya bang umalis ng artepaktong ito sa makina

Ang file ng konfigurasyon, pribadong susi, walang limitasyong pagkuha ng packet at hilaw na dump ng estado ay pawang mga lihim hanggang mapatunayang salungat. Ang utos na nagpi-print ng mga susi ay hindi nagiging ligtas dahil pinatakbo mo ito para sa diagnostiko.

Ang tuntunin ay sapat na simple upang sabihin sa isang pangungusap: ibahagi ang obserbasyong sumasagot sa tanong, hindi ang kalagayan ng makinang lumikha nito.

Pagsusuri 2: piliin ang utos ng buod, hindi ang dump ng estado

Para sa strongSwan ang swanctl --list-sas ay nagpapakita ng buod ng asosasyon: mga pagkakakilanlan, naka-install na child SA, estado at kontador. Hindi nito kailangan ang hilaw na dump ng susi, at ito ang unang bagay na dapat idikit sa isang tiket. Sa panig ng kernel, sinusuportahan ng iproute2 ang ip xfrm state list nokeys sa mga bersyong nagdodokumento ng opsyong ito, na nagtatago ng materyal ng susi habang pinapanatili ang mga field ng asosasyon.

Kumpirmahin ang sintaks sa lokal na manwal bago umasa rito, dahil ang opsyong ito ay wala sa bawat release, at ang pangkalahatang listahan ng estado na wala nito ay ibang utos na may ibang output. Ang pagpapatakbo ng ip xfrm state sa lumang build upang tingnan kung may flag ay eksaktong pagkakamaling tinatalakay ng checklist na ito.

Pagsusuri 3: itala lamang ang kailangan ng imbestigasyon

Ang estado ng asosasyon, mga algorithm, selektor, timestamp, direksyon at kaugnay na kontador ay karaniwang sapat. Ang mga pagkakakilanlan ng account, pampublikong address at panloob na topolohiya ay madalas hindi, at maaari silang i-redact nang hindi nawawala ang halaga ng diagnostiko.

I-redact bilang default at ibalik kapag hiniling. Ang bumabasa ng iyong tiket ay maaaring humingi ng isa pang field; ngunit hindi niya maaaring gawing hindi nakita ang isang naidikit na susi.

May gitnang daan na dapat malaman: ang buod ay maaari pa ring sensitibo. Ang mga pagkakakilanlan, address ng kapares at pangalan ng child SA ay naglalarawan ng iyong topolohiya, at sa ilang organisasyon ito mismo ay limitadong impormasyon. Magpasya kung sino ang madla bago idikit, at piliin ang channel na may tamang kontrol sa pag-access kaysa sa pampublikong isyu. Ang ligtas na utos ay hindi kapareho ng ligtas na destinasyon.

Pagsusuri 4: iugnay ang isang pagtatangka sa dalawang dulo

Kunin ang kliyente at gateway para sa parehong pagtatangka ng koneksyon, sa parehong oras, at tiyakin na ang asosasyong inilalarawan mo ay ang nilikha ng pagtatangkang iyon. Ang paghahalo ng lumang child SA mula sa naunang pagtatangka sa sariwang snapshot ng ruta ay gumagawa ng ulat na pare-pareho sa loob ngunit lubos na nakaliligaw.

Kilalanin ang asosasyon sa pamamagitan ng mga natatanging identifier nito at hindi sa pamamagitan ng tunel, at itala ang direksyon ng pagkabigo. Kung ang sintomas ay walang trapiko sa isang direksyon, sabihin kung alin at isama ang isang hindi mapaminsalang destinasyon ng pagsubok, upang makapag-isip ang mambabasa tungkol sa landas sa halip na manghula. Kontador na sero sa isang direksyon at tumataas sa kabila ay naglalagay ng lokasyon ng problema nang mas mahusay kaysa sa anumang dump ng susi. Panatilihin ang mga timestamp sa isang time zone at sabihin kung alin.

Pagsusuri 5: ano ang gagawin kung ang materyal ay naibunyag na

Ang pagtanggal ng attachment ay hindi nagpapatunay na walang nagtago nito, at ang pampublikong pagdikit ay mabilis nakopya.

Ituring itong insidente at gamitin ang proseso ng pagpapalit ng operator: paikutin ang mga apektadong susi o kredensyal, tingnan kung ang pagbubunyag ay nagpapahiwatig ng mas malawak na kompromiso, at sundan ang naaangkop na landas ng abiso. Ang teknikal na paglilinis ay ang madaling bahagi; ang palagay na walang bumasa ay ang mahirap.

Ang matibay na kasanayan ay isang maliit na template na pinupunan mo bago idikit: aling dulo, aling identifier ng asosasyon, aling direksyon, aling kontador at ano ang naibukod na. dokumentasyon ng swanctl list-sas ay naglalarawan ng mga field ng buod, at iyon ang talagang kailangan ng karamihan ng tiket. Ang lahat ng iba ay available kapag hiniling para sa kailangan ito. Ang ulat ng diagnostiko ay dapat maglaman ng ebidensya, hindi access.