Biri qalxmış, sıfır qoşulan: strongSwan sətri nəyi sayır

Security Associations (1 up, 0 connecting) yazan bir status sətrini oxuyun və bu, işləyən bir tunel haqqında hesabat kimi görünür. İki alt şəbəkə eyni anda onun içindən trafik keçirir, ona görə rəqəm yalan deyirmiş kimi görünür. Yalan deyil; IKE assosiasiyalarını sayır və onlardan biri bir neçə child saxlaya bilər. Bir təklifə və ya marşruta toxunmazdan əvvəl inventarları oxuyun.

Niyə başlıq və trafik uyğunsuzdur

Köhnə stroke çıxışı öz cəmini təhlükəsizlik assosiasiyaları adlandırır və onu IKE assosiasiya menecerindən götürür. Hər qurulmuş IKE assosiasiyası bir ədəd verir, altında nə qədər CHILD SA olduğundan asılı olmayaraq. Tək bir IKEv2 valideyni adətən bir neçə child daşıyır, hər trafik seçici cütü üçün bir, və child-in razılaşdırılmış seçiciləri birdən çox ünvanı və ya prefiksi əhatə edə bilər. Buna görə konfiqurasiyanızdakı ünvanların sayının başlıqdakı rəqəmlə sabit əlaqəsi yoxdur.

Müasir çıxış bəzən köhnə “up” ifadəsi yerinə cəmi göstərir və swanctl ilə idarə olunan demonu köhnə stroke parametrləri heç idarə etmir. Nə ifadəni, nə də versiyalar arasında sayma qaydasını fərz etməyin.

Nəyisə dəyişməzdən əvvəl üç inventarı müqayisə edin

Əvvəl nə yükləndiyi ilə başlayın, sonra nə razılaşdırıldığı, sonra həqiqətən nə paket daşıdığı. Bunlar üç fərqli sualdır və hər birinin öz əmri var.

swanctl --list-conns
swanctl --list-sas

Birinci demonun qəbul etdiyi bağlantı təriflərini sadalayır. İkinci qurulmuş IKE assosiasiyalarını child-ləri ilə sadalayır və əsl iyerarxiya orada görünür. Faylda olan, amma birinci siyahıda olmayan tərif heç vaxt yüklənməyib və başladıcının nə qədər cəhdi olsa da bunu düzəltməyəcək. Əvəzində köhnə interfeysi işlədirsinizsə, ekvivalent cüt ipsec statusall və konfiqurasiyanın hansı plaginə aid olduğundan asılı olaraq eyni swanctl siyahısıdır. Bir hostda iki demon arasında alətləri qarışdırmayın və vahid tutarlı cavab gözləməyin.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Xam forma identifikatorları və seçiciləri müqayisə üçün görünən saxlayır, nüvə vəziyyəti siyahısı isə yığının nə quraşdırdığını düşündüyünü göstərir. Demonla nüvə uyğunsuz olduqda, ya demon mövcud child ətrafında yenidən başladılıb, ya da nüvə obyekti onun altından silinib.

Cəmi deyil, iyerarxiyanı oxuyun

İki child-i olan nümunəvi qurulmuş valideyn, altında hər biri öz vəziyyəti və rejimi ilə işarələnmiş iki child olan bir düyün kimi görünür. Kimsənin paneldən yapışdırdığı xülasəni oxumaq əvəzinə əsl çıxışı boşaldın və child-ləri özünüz sayın.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

İki quraşdırılmış child-i olan bir valideyn sağlam iki alt şəbəkəli tuneldir. Bir quraşdırılmış və bir itkin child-i olan bir valideyn başqa vəziyyətdir və itkin child-in seçiciləri uzaq tərəfin təklifi ilə müqayisə edilməli şeydir. Açar yenilənməsi zamanı köhnə child və onun əvəzləyicisi qısa müddət ərzində birlikdə görünə bilər. Vaxt damğasını snapshot ilə saxlayın, çünki yenilənmənin ortasında götürülmüş say dublikat, sonrasında götürülmüş say isə itki kimi görünür.

Yüklənmiş, quraşdırılmış və trafik keçirən

Quraşdırılmış vəziyyətdə olan child-in razılaşdırılmış parametrləri və nüvədə qeydi var. Lakin o, mütləq paket daşımayıb: seçicilər gözlədiyiniz trafikdən dar ola bilər və marşrut həmin trafiki tunel onu görməmişdən başqa yerə göndərə bilər. Razılaşdırılmış seçicilərə uyğun axını səlahiyyətli hostdan göndərin, sonra başlıq yerinə child-in sayğaclarını oxuyun. Uyğun trafik yaratdığınız halda sıfırda qalan sayğac IKE-ə deyil, marşruta və ya siyasətə işarə edir.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Adlandırılmış child-i başlatmaq görünən nəticəsi olan qəsdən edilən hərəkətdir və “bağlantı boşdur, çünki heç kim istəmədi” ilə “bağlantı qalxa bilmir” arasını ayırır. Tələb üzrə tələ siyasəti birinci hal kimi davranır, ona görə onu nasazlıq adlandırmazdan əvvəl bağlantının başlatma parametrini oxuyun.

Say gerçəkən səhv olduqda

Yüklənmiş inventarda tərif yoxdursa, konfiqurasiyanın yüklənməsinə və hansı demon nüsxəsinin işlədiyinə baxın. Yüklənib, amma heç razılaşmırsa, təklifləri, autentifikasiya kontekstini və seçiciləri həmyaşıdla müqayisə edin, hər dəfə bir child. Hər cəhddə bir elementi dəyişin və dəyişdiyiniz identifikatoru qeyd edin. Təklifi geri qaytarmaq hansının olduğunu bildikdə asandır; heç vaxt ayrılmayan üç düzəlişdən sonra isə təxmindir.

Əvvəlcə səhv oxunuşu düzəldin. “İtkin” ikinci tunel barədə hesabatların çoxu bir valideyn altında iki quraşdırılmış child ilə bitir və həqiqətən pozulan yeganə şey insanların iyerarxiya yerinə etibar etdiyi xülasə sətri idi.