IPsec کی حالت اس کی کلیدیں شائع کیے بغیر کیسے جانچیں

IPsec کی حالت کا ڈمپ کوئی حالت رپورٹ نہیں ہے، اور اسے ایسا سمجھنا ہی وہ راستہ ہے جس سے کلیدی مواد کسی عوامی مسئلہ ٹریکر میں پہنچتا ہے۔ کرنل کی جانچ کے بعض آؤٹ پٹ میں وہ ٹریفک کلیدیں ہوتی ہیں جو کرنل استعمال کر رہا ہے، ساتھ ہی ایسے پتے، منتخب کنندگان اور شمار کنندگان جو واقعی مفید ہیں۔ محفوظ عادت یہ ہے کہ پہلے خلاصہ جمع کریں اور خام حالت کی طرف صرف اس وقت جائیں جب خلاصہ سوال کا جواب نہ دے سکے۔ اگر خام حالت دیکھنی ہی پڑے تو اسے مقامی طور پر دیکھیں اور کچھ زیادہ محدود شیئر کریں۔

جانچ 1: کیا یہ چیز مشین سے نکل بھی سکتی ہے

کنفیگریشن فائل، نجی کلید، بلا روک ٹوک پیکٹ کیپچر اور خام حالت کا ڈمپ سب راز ہیں جب تک اس کے برعکس ثابت نہ ہو۔ کلیدیں چھاپنے والا حکم اس وجہ سے محفوظ نہیں ہو جاتا کہ آپ نے اسے تشخیص کے لیے چلایا۔

قاعدہ ایک جملے میں کہنے کے قابل سادہ ہے: وہ مشاہدہ شیئر کریں جو سوال کا جواب دیتا ہے، وہ مشین حالت نہیں جس نے اسے پیدا کیا۔

جانچ 2: حالت کا ڈمپ نہیں، خلاصے کا حکم منتخب کریں

strongSwan کے لیے swanctl --list-sas ایسوسی ایشن کا خلاصہ دکھاتا ہے: شناختیں، نصب شدہ چائلڈ SA، حالتیں اور شمار کنندگان۔ اسے خام کلید ڈمپ کی ضرورت نہیں، اور ٹکٹ میں سب سے پہلے یہی چسپاں کرنا چاہیے۔ کرنل کی طرف، iproute2 ان ورژنوں میں ip xfrm state list nokeys کی حمایت کرتا ہے جو اس اختیار کی دستاویز کرتے ہیں، جو ایسوسی ایشن کے میدان برقرار رکھتے ہوئے کلیدی مواد دبا دیتا ہے۔

اس پر بھروسہ کرنے سے پہلے مقامی دستی میں نحو کی تصدیق کریں، کیونکہ یہ اختیار ہر ریلیز میں موجود نہیں، اور اس کے بغیر عمومی حالت کی فہرست مختلف آؤٹ پٹ والا مختلف حکم ہے۔ پرانے بلڈ پر ip xfrm state چلا کر یہ دیکھنا کہ پرچم موجود ہے یا نہیں، بالکل وہی غلطی ہے جس کے بارے میں یہ چیک لسٹ ہے۔

جانچ 3: صرف وہی درج کریں جس کی تفتیش کو ضرورت ہے

ایسوسی ایشن کی حالت، الگورتھم، منتخب کنندگان، ٹائم اسٹیمپ، سمت اور متعلقہ شمار کنندگان عام طور پر کافی ہوتے ہیں۔ اکاؤنٹ شناختیں، عوامی پتے اور اندرونی ٹوپولوجی اکثر نہیں، اور تشخیصی قدر کھوئے بغیر انہیں چھپایا جا سکتا ہے۔

بطور طے شدہ چھپائیں اور درخواست پر دوبارہ شامل کریں۔ آپ کا ٹکٹ پڑھنے والا ایک اور میدان مانگ سکتا ہے؛ لیکن چسپاں کی گئی کلید کو وہ ان دیکھا نہیں کر سکتا۔

جاننے کے قابل ایک درمیانی راستہ ہے: خلاصہ بھی حساس ہو سکتا ہے۔ شناختیں، ہم منصب کے پتے اور چائلڈ SA کے نام آپ کی ٹوپولوجی بیان کرتے ہیں، اور بعض اداروں میں یہ بذات خود محدود معلومات ہے۔ چسپاں کرنے سے پہلے طے کریں کہ سامعین کون ہیں، اور عوامی مسئلے کی بجائے درست رسائی کنٹرول والا ذریعہ ترجیح دیں۔ محفوظ حکم محفوظ منزل کے برابر نہیں۔

جانچ 4: ایک کوشش کو دونوں سروں پر جوڑیں

ایک ہی کنکشن کوشش کے لیے کلائنٹ اور گیٹ وے کو ایک ہی وقت میں قید کریں، اور یقینی بنائیں کہ آپ جس ایسوسی ایشن کی وضاحت کر رہے ہیں وہی اس کوشش نے پیدا کی ہے۔ پچھلی کوشش کے پرانے چائلڈ SA کو نئے راستے کے سنیپ شاٹ کے ساتھ ملانا ایسی رپورٹ بناتا ہے جو باطن میں ہم آہنگ مگر مکمل گمراہ کن ہوتی ہے۔

ایسوسی ایشن کو سرنگ سے نہیں، اس کے منفرد شناخت کنندگان سے پہچانیں، اور ناکامی کی سمت لکھیں۔ اگر علامت ایک سمت میں ٹریفک نہ ہونا ہے تو کون سی سمت بتائیں اور ایک بے ضرر آزمائشی منزل شامل کریں، تاکہ قاری اندازہ لگانے کے بجائے راستے پر غور کر سکے۔ وہ شمار کنندہ جو ایک سمت میں صفر اور دوسری سمت میں بڑھ رہا ہو مسئلے کی نشان دہی کسی بھی کلید ڈمپ سے کہیں بہتر کرتا ہے۔ ٹائم اسٹیمپ ایک ہی ٹائم زون میں رکھیں اور بتائیں کون سا۔

جانچ 5: اگر مواد پہلے ہی بے نقاب ہو چکا ہو تو کیا کریں

منسلکہ حذف کرنا یہ ثابت نہیں کرتا کہ کسی نے اسے رکھا نہیں، اور عوامی چسپاں جلد نقل ہو جاتا ہے۔

اسے واقعہ سمجھیں اور آپریٹر کی تبدیلی کا عمل استعمال کریں: متاثرہ کلیدیں یا اسناد بدلیں، دیکھیں کہ بے نقابی کسی وسیع تر خلاف ورزی کا اشارہ ہے یا نہیں، اور جو اطلاعی راستہ لاگو ہو اس کی پیروی کریں۔ تکنیکی صفائی آسان حصہ ہے؛ یہ فرض کہ کسی نے اسے نہیں پڑھا مشکل حصہ ہے۔

پائیدار عمل ایک چھوٹا سانچہ ہے جو آپ چسپاں کرنے سے پہلے بھرتے ہیں: کون سا سرا، کون سا ایسوسی ایشن شناخت کنندہ، کون سی سمت، کون سا شمار کنندہ اور کیا پہلے ہی خارج ہو چکا ہے۔ swanctl list-sas کی دستاویز خلاصے کے میدان بیان کرتی ہے، اور زیادہ تر ٹکٹوں کو واقعی یہی درکار ہوتا ہے۔ باقی سب کچھ ضرورت مند کو درخواست پر دستیاب ہے۔ تشخیصی رپورٹ میں شہادت ہونی چاہیے، رسائی نہیں۔