Yüklənmiş strongSwan profili aktiv tunel deyil

strongSwan konfiqurasiyasında bağlantının siyahıya alınması yalnız təyinatın yükləndiyini sübut edir. Bu, tərəfdaşla əlaqə saxlanıldığını, IKE SA-nın mövcud olduğunu və ya hər hansı trafikin qorunduğunu ifadə etmir. Demon təyinatları və canlı assosiasiyaları ayrı obyektlər kimi qəbul edir, aralarındakı məsafə isə qəsdən verilmiş dizayn qərarıdır. Hansı obyekti yoxladığınızı bilmək qeyri-müəyyən nasazlığı konkret növbəti əmrə çevirir.

Yükləmə qoşulma deyil

Yüklənmiş bağlantı sonradan nəyin razılaşdırıla biləcəyi barədə bəyanatdır: tərəfdaş ünvanları, etimad məlumatları, təkliflər və trafik seçiciləri. Bu bəyanatda heç nə demonun kiməsə zəng etməsini tələb etmir. Şlüz qarşı tərəfi gözləyə, işə salınmada təşəbbüs göstərə və ya uyğun trafikin onu oyatmasını gözləyə bilər. Üçü də etibarlıdır və üçü də işə salma siyasətini oxuyana qədər konfiqurasiya faylında eyni görünür.

Operatorlar təyinatlar siyahısını status siyahısı kimi oxuyaraq çətinliyə düşürlər. Profil oradadır, ona görə tunelin qalxdığı güman edilir və növbəti saat heç vaxt qurulmamış assosiasiyanın marşrutlarını sazlaşdırmağa gedir.

Əks səhv də eyni dərəcədə yayğındır. Çatışmayan profil insanları konfiqurasiya heç vaxt yüklənmədiyi halda şəbəkə nasazlığı axtarmağa göndərir. Obyekti adlandırın və sonra onu müşahidə edən əmri icra edin.

Üç obyekt, üç müşahidə

strongSwan yüklənmiş təyinatı, IKE SA və CHILD SA saxlayır. Birincisi konfiqurasiyadır, ikincisi autentifikasiya olunmuş idarəetmə münasibətidir, üçüncüsü isə seçilmiş trafik üçün razılaşdırılmış mühafizədir. Onların hətta ayrı adları var, buna görə hq adlı profil hq-lan adlı child-ə sahib ola bilər.

Cədvəl hər təbəqəni onu göstərən əmrlə əlaqələndirir. Jurnalı oxumazdan əvvəl sətri oxuyun.

Child-i tələb etmək, heç biri olmadıqda əvvəlcə onun valideyn IKE SA-nı qurur. Yalnız IKE SA-nı tələb etmək başqa çağırışdır. Düzgün autentifikasiya edən idarəetmə kanalı tələb olunan child-ə zəmanət vermir.

Bu fərq qismən nasazlıq zamanı vacibdir. IKE SA sağlam ola bilər, halbuki child seçici uyğunsuzluğu və ya tərəfdaşın qəbul etmədiyi təklif üzündən uğursuz olur. İki obyekt müxtəlif səbəblərdən uğursuz olur, buna görə ayrı müşahidələrə layiqdirlər.

İşə salma əməliyyatını qəsdən seçin

swanctl.conf daxilində child-in start_action parametri yükləmədən sonrakı davranışı müəyyən edir. Standart none dəyəri təyinatı əl ilə işə salmağa və ya responder kimi istifadəyə buraxır. start onu çağırır, halbuki trap uyğun trafik görünən kimi razılaşdıran siyasət qoyur.

Beləliklə, həm «yükləmə heç vaxt tunel başlatmır», həm də «yükləmə həmişə onu başladır» yanlışdır. Əməliyyat profilin hissəsidir və tərəfdaşın rolu ilə uyğun olmalıdır. İkisi də qarşı tərəfi gözləyən iki şlüz sükut yaradır, tunel deyil.

trap zamanı trafik seçicilərə uyğun olmalıdır, buna görə əlaqəsiz ping heç nəyi oyatmayacaq. start zamanı tərəfdaşın ünvanı istifadəyə yararlı olmalı və hər iki tərəf autentifikasiya ilə təkliflər barədə razılaşmalıdır. Əməliyyatların heç biri bu şərtlərin yoxlanmasını əvəz etmir.

Bərpa ayrı siyasətdir

İşə salınma keepalive deyil. Ölü tərəfdaşın aşkarlanması, tərəfdaşın açıq şəkildə bağlaması, açarların yenilənməsi və prosesin yenidən işə salınması öz ayarları olan fərqli həyat dövrü hadisələridir. Hər birini qəsdən konfiqurasiya edin, ilkin işə salmanın hamısını əhatə edəcəyini gözləmək əvəzinə.

İşə salınmada qalxıb bir saat sonra ölən tunel bərpa məsələsidir. İşə salma siyasəti öz işini gördü və sonra əhəmiyyətli olmaqdan çıxdı. İlkin razılaşmanı günahlandırmazdan əvvəl DPD və açar yeniləmə ayarlarına baxın.

Yüklənmiş təyinatların dəyişdirilməsi ayrı əməliyyatdır. Qeyri-standart işə salma siyasətlərinin sənədləşdirilmiş əks əməliyyatları var və yenidən yükləmə əməliyyat dəyişikliyidir, hər assosiasiyanın yerində yeniləndiyi fərziyyəsi deyil. Yenidən yükləmələri yenidən qoşulmanın məqbul olduğu mərhələlərdə edin. Köhnə konfiqurasiyanı yeni sübut olunana qədər saxlayın.

Marşrutlaşdırmanı sazlaşdırmazdan əvvəl nəyin mövcud olduğunu yoxlayın

Üç müşahidəni ardıcıl yerinə yetirin: yüklənmiş təyinatlar, aktiv IKE SA və child qeydləri. Hər cavab növbəti sualı daraldır. Bir addımı atlayın və sonda heç vaxt qurulmamış təbəqəni sazlaşdırırsınız.

Yüklənmişdən və həqiqətən qurulmuşdan başlayın:

swanctl --list-conns
swanctl --list-sas

Profil düzgün olsa da child yoxdursa, onu adı ilə işə salın və nə baş verdiyini izləyin. Çıxış adətən valideynin əvvəl qalxıb-qalxmadığını bildirir.

swanctl --initiate --child hq-lan

Aktiv CHILD SA finiş xətti deyil. Yönləndirmə qaydaları, marşrutlar və tətbiqin öz icazəsi hələ də uyğun olmalıdır. Həyat dövrü nəyin razılaşdırıldığını cavablandırır; kimin xidmətdən istifadə edə biləcəyini qərar verə bilməz.