Een op, nul verbindend: wat daardie strongSwan-reël tel

Lees ’n statusreël wat Security Associations (1 up, 0 connecting) sê, en dit lyk soos ’n verslag van een werkende tonnel. Twee subnetwerke stuur terselfdertyd verkeer daardeur, so die getal lyk of dit lieg. Dit lieg nie; dit tel IKE-verbintenisse, en een daarvan kan verskeie kinders huisves. Lees die inventarisse voordat jy aan ’n voorstel of ’n roete raak.

Waarom die opskrif en die verkeer verskil

Die ou stroke-uitvoer noem sy totaal sekuriteitsverbintenisse en lei dit uit die IKE-verbintenisbestuurder af. Elke gevestigde IKE-verbintenis dra een by, ongeag hoeveel CHILD SA’s daaronder sit. ’n Enkele IKEv2-ouer dra gewoonlik verskeie kinders, een per verkeerskeierpaar, en ’n kind se onderhandelde keiers kan meer as een adres of voorvoegsel dek. Die aantal adresse in jou konfigurasie het dus geen vaste verhouding tot die getal in die opskrif nie.

Moderne uitvoer wys soms ’n totaal in plaas van die ou bewoording “up”, en ’n swanctl-bestuurde daemon word glad nie deur ou stroke-instellings gedryf nie. Aanvaar nóg die bewoording nóg die telreël oor weergawes heen.

Vergelyk drie inventarisse voordat jy iets verander

Begin met wat gelaai is, dan wat onderhandel is, dan wat werklik pakkette beweeg. Dit is drie verskillende vrae en elkeen het sy eie opdrag.

swanctl --list-conns
swanctl --list-sas

Die eerste lys verbindingsdefinisies wat die daemon aanvaar het. Die tweede lys gevestigde IKE-verbintenisse met hul kinders, en dit is waar die werklike hiërargie verskyn. ’n Definisie wat in ’n lêer voorkom maar in die eerste lys ontbreek, is nooit gelaai nie, en geen hoeveelheid herpogings van die inisieerder sal dit regstel nie. As jy eerder die ou koppelvlak gebruik, is die ekwivalente paar ipsec statusall en dieselfde swanctl-lys, afhangend van watter inprop die konfigurasie besit. Moenie gereedskap oor twee daemons op een gasheer meng en ’n enkele samehangende antwoord verwag nie.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Die rou vorm hou identificadores en keiers sigbaar vir vergelyking, en die kernel-toestandlys wys wat die stapel dink hy geïnstalleer het. Wanneer die daemon en die kernel verskil, het die daemon rondom ’n bestaande kind herbegin of die kernel-objek is onder hom verwyder.

Lees die hiërargie, nie die totaal nie

’n Illustratiewe gevestigde ouer met twee kinders lyk soos een nodus met twee kinders daaronder, elkeen gemerk met sy eie toestand en modus. Stort die werklike uitvoer uit en tel die kinders self in plaas daarvan om ’n opsomming te lees wat iemand uit ’n paneel geplak het.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Een ouer met twee geïnstalleerde kinders is ’n gesonde tweesubnet-tonnel. Een ouer met een geïnstalleerde kind en een afwesige kind is ’n ander situasie, en die ontbrekende kind se keiers is die ding om teen die afgeleë kant se voorstel te vergelyk. Tydens hersluiting kan ’n ou kind en sy vervanging vir ’n kort venster albei verskyn. Hou die tydstempel by die momentopname, want ’n telling wat midde-in hersluiting geneem is, lyk soos duplisering en ’n telling daarna lyk soos verlies.

Gelaai, geïnstalleer en verkeer wat beweeg

’n Kind in die geïnstalleerde toestand het onderhandelde parameters en ’n kernel-inskrywing. Dit het nie noodwendig ’n pakket gedra nie: keiers kan smaller wees as die verkeer wat jy verwag, en ’n roete kan daardie verkeer elders stuur voordat die tonnel dit ooit sien. Stuur ’n vloei wat by die onderhandelde keiers pas vanaf ’n gemagtigde gasheer, en lees dan die kind se tellers eerder as die opskrif. ’n Teller wat op nul bly terwyl jy bypassende verkeer genereer, wys op routering of beleid, nie op IKE nie.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Om ’n genoemde kind te inisieer is ’n doelbewuste handeling met ’n sigbare resultaat, en dit skei “die verbinding is ledig omdat niemand gevra het nie” van “die verbinding kan nie opkom nie”. ’n Op-aanvraag-trapbeleid gedra hom presies soos die eerste geval, so lees die verbinding se inisiasie-instelling voordat jy dit ’n fout noem.

Wanneer die telling werklik verkeerd is

As ’n definisie in die gelaai inventaris ontbreek, kyk na die konfigurasielaai en na watter daemon-instansie loop. As dit gelaai is maar nooit onderhandel nie, vergelyk voorstelle, verifikasiekonteks en keiers met die eweknie, een kind op ’n slag. Verander een element per poging en teken die identifiseerder aan wat jy verander het. Om ’n voorstel terug te rol is maklik wanneer jy weet watter een; dit is giswerk ná drie wysigings wat nooit geskei is nie.

Stel eers die verkeerde lesing reg. Die meeste verslae van ’n “ontbrekende” tweede tonnel eindig met twee geïnstalleerde kinders onder een ouer, en die enigste ding wat ooit gebreek was, was die opsomminglyn wat mense vertrou het in plaas van die hiërargie.