ipsec.conf yoxsa swanctl.conf? Bir strongSwan frontend seçin

Köhnə təlimatdan götürülmüş işlək IKEv1 profili Ubuntu 24.04-ə düşür və ilk cəhd uğursuz olur, çünki daemon faylı heç oxumayıb. Adi reaksiya profili yenidən redaktə etməkdir. Əsl sual hansı strongSwan frontend-inin quraşdırıldığı və işləyən xidmətin hansını istifadə etdiyidir. Bu cavablanana qədər hər redaktə mövcud olmaya bilən bir yükləyiciyə yönəlir.

İki fayl, iki yükləyici, bir daemon

Köhnə starter quruluşu ipsec.conf faylını oxuyur və bağlantıları öz köhnə idarəetmə inteqrasiyası vasitəsilə charon-a ötürür. Onun əməliyyat giriş nöqtəsi ipsec əmridir.

swanctl quruluşu təyinatları VICI vasitəsilə yükləyir, swanctl.conf oxuyur və swanctl əmri ilə idarə olunur. systemd-yə doğma charon daemonu bu yanaşma ilə birləşir.

Hər ikisi eyni maşında quraşdırıla bilər və qarışıqlıq burada başlayır. /etc altındakı fayl yalnız kiminsə onu yazdığını sübut edir, işləyən prosesin onu yüklədiyini yox. Hansının işlədiyini görmək üçün hər alternativi quraşdırmaq iki idarəetmə yolu və aydın sahibi olmayan bir host yaradır. Bir quruluş seçin və digərini silin və ya söndürün.

Quraşdırılmış paketləri və unit-ləri oxuyun

Yalnız oxuma rejimində başlayın. Ubuntu 24.04-də paket adları ayrıdır: strongswan-starter, strongswan-swanctl və charon-systemd. Çatışmayan paket faydalı məlumatdır, onu quraşdırmaq üçün göstəriş deyil.

Paketləri və unit-ləri bir keçiddə inventarlaşdırın:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Sonra aktiv unit-i və onun işə salma əmrini yoxlayın. Unit adı konfiqurasiyanın hansı daemona aid olduğunu deyir, əmr sətri isə hansı faylları oxumağın tapşıldığını təsdiqləyir. Aktivləşdirilmiş, lakin işləməyən unit indi işləyən unitdən fərqli bir hekayə danışır.

Aktiv unit strongswan-starter-dirsə, vacib fayl ipsec.conf-dur. Əgər swanctl ilə charon-systemd-dirsə, ipsec.conf sadəcə bəzəkdir.

Uyğun idarəetmə yolundan istifadə edin

Hər frontend-in bağlantılara və assosiasiyalara öz baxışı var. swanctl --list-conns yüklənmiş təyinatları, swanctl --list-sas isə aktiv assosiasiyaları göstərir. Köhnə yol ipsec statusall istifadə edir.

Onları qarışdırmaq yanıltıcı xətalar yaradır. Çatışmayan VICI soketi və ya rədd edilmiş idarəetmə sorğusu idarəetmə yolu problemidir, qarşı tərəfin autentifikasiyanı rədd etdiyinə dəlil deyil.

İşləyən daemona aid baxışı oxuyun, sonra nəticəni şərh edin. Əgər bağlantı o baxışda yoxdursa, problem yükləmədədir, danışıqlarda deyil.

Format IKE versiyası deyil

Köhnə profil keyexchange=ikev1 ilə IKEv1 seçir. swanctl bağlantısı versiya ayarı istifadə edir, burada 1 IKEv1 seçir. Bunlar eyni fikir üçün iki lüğətdir, çevrilmə deyil.

Qarşı tərəfin ünvanları, yerli və uzaq kimliklər, etimad mənbələri, təkliflər və child selektorları hər biri qəsdən uyğunlaşdırılmalıdır. left/right blokunu swanctl sintaksisinə yapışdırmaq bunların heç birini etmir.

Yalnız protokol versiyasını dəyişmək ən çox yayılmış yarımçıq miqrasiyadır. Bu, yüklənən, sonra isə versiya ilə əlaqəsiz səbəblərdən autentifikasiyadan keçməyən fayl yaradır. IKEv1 özü RFC 9395 ilə köhnəlmişdir, ona görə hələ də onu tələb edən mövcud qarşı tərəf sənədləşdirilmiş uyğunluq məhdudiyyətinə və miqrasiya yoluna layiqdir, yeni standart parametrə deyil.

Profilə toxunmadan əvvəl yükləyicini yoxlayın

Əvvəlcə yükləyici yoxlamasını aparın, sonra nəzərdə tutulan bağlantını yükləyin, sonra danışıqları, sonra qorunan trafik yolunu qiymətləndirin. Hər mərhələnin fərqli uğursuzluq imzası var.

İki idarəetmə yolu yükləmə sualına birbaşa cavab verir:

swanctl --list-conns
ipsec statusall

Bu əmrlərdən yalnız biri sizin hostunuza aiddir. İkisini də işə salıb çıxışı müqayisə etmək hansının sizə yalan dediyini tapmağın yoludur, diaqnostik metod deyil.

Paket sahibliyini, konfiqurasiya yüklənməsini və protokol uyğunluğunu üç ayrı sual kimi qəbul edin. Bir frontend üçün etibarlı olan fayl, başqa bir daemon işləyərkən yenidən və yenidən redaktə olunacaq.