ipsec.conf of swanctl.conf? Kies een strongSwan-frontend

'n Werkende IKEv1-profiel uit 'n ouer gids beland op Ubuntu 24.04, en die eerste poging misluk omdat die daemon die lêer nooit gelees het nie. Die gewone reaksie is om die profiel weer te wysig. Die regte vraag is watter strongSwan-frontend geïnstalleer is en watter een die lopende diens gebruik. Totdat dit beantwoord is, is elke wysiging gerig op 'n laaier wat dalk nie bestaan nie.

Twee lêers, twee laaiers, een daemon

Die ou starter-reëling lees ipsec.conf en gee verbindings aan charon deur sy erfenisbestuursintegrasie. Sy operasionele toegangspunt is die ipsec-opdrag.

Die swanctl-reëling laai definisies deur VICI, lees swanctl.conf en word deur die swanctl-opdrag bestuur. Die systemd-inheemse charon-daemon integreer met daardie benadering.

Albei kan op dieselfde masjien geïnstalleer wees, en dit is waar die verwarring begin. 'n Lêer onder /etc bewys net dat iemand dit geskryf het, nie dat die lopende proses dit gelaai het nie. Om elke alternatief te installeer om te sien watter een werk, skep 'n gasheer met twee bestuurspaaie en geen duidelike eienaar nie. Kies een reëling en verwyder of deaktiveer die ander.

Lees die geïnstalleerde pakkette en eenhede

Begin net-lees. Die pakketname op Ubuntu 24.04 is apart: strongswan-starter, strongswan-swanctl en charon-systemd. 'n Ontbrekende pakket is nuttige inligting, nie 'n opdrag om dit te installeer nie.

Maak 'n inventaris van die pakkette en die eenhede in een stap:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Ondersoek dan die aktiewe eenheid en sy opstartopdrag. Die eenheidsnaam sê watter daemon die konfigurasie besit, en die opdragreël bevestig watter lêers dit moes lees. 'n Eenheid wat geaktiveer maar onaktief is, vertel 'n ander storie as een wat nou loop.

As die aktiewe eenheid strongswan-starter is, is ipsec.conf die lêer wat saak maak. As dit charon-systemd met swanctl is, is ipsec.conf bloot versiering.

Gebruik die passende beheerpad

Elke frontend het sy eie siening van verbindings en assosiasies. swanctl --list-conns wys gelaaide definisies en swanctl --list-sas wys aktiewe assosiasies. Die ou pad gebruik ipsec statusall.

Om hulle te meng lewer misleidende foute. 'n Ontbrekende VICI-sok of 'n geweierde beheerversoek is 'n bestuurspadprobleem, nie bewys dat die eweknie verifikasie verwerp het nie.

Lees die siening wat by die lopende daemon hoort, en interpreteer dan die resultaat. As die verbinding nie in daardie siening voorkom nie, is die probleem die laai, nie die onderhandeling nie.

Formaat is nie die IKE-weergawe nie

'n Erfenisprofiel kies IKEv1 met keyexchange=ikev1. 'n swanctl-verbinding gebruik 'n weergawe-instelling, waar 1 IKEv1 kies. Dit is twee woordeskatte vir dieselfde idee, nie 'n omskakeling nie.

Eweknie-adresse, plaaslike en afgeleë identiteite, geloofsbronne, voorstelle en kind-kiesers moet elkeen doelbewus gekarteer word. Om 'n links/regs-blok in swanctl-sintaks te plak, doen niks daarvan nie.

Om net die protokolweergawe te verander, is die mees algemene half-migrasie. Dit lewer 'n lêer wat laai en dan nie verifieer nie, om redes wat nie met die weergawe verband hou nie. IKEv1 self is deur RFC 9395 afgekeur, so 'n bestaande eweknie wat dit steeds vereis, verdien 'n gedokumenteerde versoenbaarheidsbeperking en 'n migrasiepad, nie 'n nuwe verstek nie.

Kontroleer die laaier voordat jy aan die profiel raak

Voer eers die laaierkontrole uit, laai dan die beoogde verbinding, evalueer dan die onderhandeling en dan die beskermde verkeerspad. Elke stadium het 'n ander mislukkingspatroon.

Die twee beheerpaaie beantwoord die laaivraag direk:

swanctl --list-conns
ipsec statusall

Net een van daardie opdragte hoort by jou gasheer. Om albei te hardloop en die uitset te vergelyk, is 'n manier om te ontdek watter een vir jou lieg, nie 'n diagnostiese metode nie.

Behandel pakket-eienaarskap, konfigurasielaai en protokolversoenbaarheid as drie aparte vrae. 'n Lêer wat vir een frontend geldig is, sal anders weer en weer gewysig word terwyl 'n ander daemon die een is wat loop.