Cách kiểm tra trạng thái IPsec mà không công bố khóa

Bản kết xuất trạng thái IPsec không phải báo cáo trạng thái, và coi nó như vậy chính là cách vật liệu khóa rơi vào trình theo dõi sự cố công khai. Một số đầu ra kiểm tra nhân có chứa khóa truyền tải mà nhân đang dùng, cùng với địa chỉ, bộ chọn và bộ đếm thực sự hữu ích. Thói quen an toàn là thu thập bản tóm tắt trước và chỉ chạm tới trạng thái thô khi bản tóm tắt không trả lời được câu hỏi. Nếu buộc phải xem trạng thái thô, hãy xem cục bộ và chia sẻ thứ hẹp hơn.

Kiểm tra 1: vật phẩm này có thể rời khỏi máy hay không

Tệp cấu hình, khóa riêng, bắt gói không giới hạn và bản kết xuất trạng thái thô đều là bí mật cho tới khi chứng minh ngược lại. Một lệnh in khóa không trở nên an toàn chỉ vì bạn chạy nó để chẩn đoán.

Quy tắc đủ đơn giản để nói trong một câu: chia sẻ quan sát trả lời câu hỏi, không phải trạng thái máy đã tạo ra nó.

Kiểm tra 2: chọn lệnh tóm tắt, không phải bản kết xuất trạng thái

Với strongSwan, swanctl --list-sas hiển thị bản tóm tắt liên kết: danh tính, child SA đã cài, trạng thái và bộ đếm. Nó không cần bản kết xuất khóa thô và là thứ đầu tiên nên dán vào phiếu. Về phía nhân, iproute2 hỗ trợ ip xfrm state list nokeys trên các phiên bản có ghi lại tùy chọn này, điều này ẩn vật liệu khóa trong khi vẫn giữ các trường liên kết.

Xác nhận cú pháp trong hướng dẫn cục bộ trước khi dựa vào nó, vì tùy chọn này không có trong mọi bản phát hành, và danh sách trạng thái chung không có nó là lệnh khác với đầu ra khác. Chạy ip xfrm state trên bản dựng cũ để xem cờ có tồn tại hay không chính là lỗi mà danh sách kiểm tra này nói tới.

Kiểm tra 3: chỉ ghi lại những gì cuộc điều tra cần

Trạng thái liên kết, thuật toán, bộ chọn, dấu thời gian, hướng và các bộ đếm liên quan thường là đủ. Danh tính tài khoản, địa chỉ công khai và cấu trúc liên kết nội bộ thường không, và có thể được che mà không mất giá trị chẩn đoán.

Che theo mặc định và thêm lại khi có yêu cầu. Người đọc phiếu của bạn có thể xin thêm một trường; nhưng không thể làm cho một khóa đã dán trở nên chưa từng thấy.

Có một con đường giữa đáng biết: bản tóm tắt cũng có thể nhạy cảm. Danh tính, địa chỉ đồng cấp và tên child SA mô tả cấu trúc liên kết của bạn, và trong một số tổ chức điều đó tự nó đã là thông tin hạn chế. Hãy quyết định ai là người đọc trước khi dán, và ưu tiên kênh có kiểm soát truy cập phù hợp hơn một sự cố công khai. Một lệnh an toàn không giống một đích đến an toàn.

Kiểm tra 4: tương quan một lần thử ở cả hai đầu

Ghi lại máy khách và cổng cho cùng một lần thử kết nối, trong cùng thời điểm, và bảo đảm liên kết bạn mô tả chính là liên kết mà lần thử đó tạo ra. Trộn một child SA cũ từ lần thử trước với ảnh chụp tuyến mới tạo ra một báo cáo nhất quán bên trong nhưng hoàn toàn gây nhầm lẫn.

Nhận diện liên kết bằng các định danh duy nhất chứ không bằng đường hầm, và ghi lại hướng hỏng. Nếu triệu chứng là không có lưu lượng ở một hướng, hãy nói rõ hướng nào và thêm một đích kiểm thử vô hại, để người đọc lý luận về đường đi thay vì đoán. Bộ đếm bằng không ở một hướng và tăng ở hướng kia định vị vấn đề tốt hơn nhiều so với bất kỳ bản kết xuất khóa nào. Giữ dấu thời gian trong một múi giờ và nói rõ múi nào.

Kiểm tra 5: cần làm gì nếu vật liệu đã bị lộ

Xóa tệp đính kèm không chứng minh rằng không ai giữ nó, và một bản dán công khai bị sao chép nhanh chóng.

Coi đó là sự cố và dùng quy trình thay thế của nhà vận hành: luân chuyển khóa hoặc thông tin đăng nhập bị ảnh hưởng, kiểm tra xem việc lộ có ngụ ý xâm phạm rộng hơn hay không, và theo đúng kênh thông báo áp dụng. Dọn dẹp kỹ thuật là phần dễ; giả định rằng không ai đọc nó là phần khó.

Thực hành bền vững là một mẫu nhỏ bạn điền trước khi dán: đầu nào, định danh liên kết nào, hướng nào, bộ đếm nào và điều gì đã bị loại trừ. tài liệu swanctl list-sas mô tả các trường tóm tắt, và đó là thứ hầu hết các phiếu thực sự cần. Mọi thứ khác có sẵn theo yêu cầu cho người cần nó. Một báo cáo chẩn đoán nên chứa bằng chứng, không phải quyền truy cập.