Jedan podignut, nula povezanih: šta ta strongSwan linija broji

Pročitajte statusnu liniju koja kaže Security Associations (1 up, 0 connecting) i izgleda kao izvještaj o jednom tunelu koji radi. Dvije podmreže istovremeno propuštaju saobraćaj kroz njega, pa se čini da broj laže. Ne laže; broji IKE asocijacije, a jedna od njih može ugostiti nekoliko podređenih. Pročitajte inventare prije nego što dirnete predlog ili rutu.

Zašto se naslov i saobraćaj razilaze

Stari stroke izlaz naziva svoj zbir sigurnosnim asocijacijama i izvodi ga iz menadžera IKE asocijacija. Svaka uspostavljena IKE asocijacija doprinosi jednu, bez obzira na to koliko CHILD SA stoji ispod nje. Jedan IKEv2 roditelj obično nosi nekoliko podređenih, po jedan za svaki par selektora saobraćaja, a pregovarani selektori podređenog mogu pokriti više od jedne adrese ili prefiksa. Broj adresa u vašoj konfiguraciji zato nema fiksan odnos prema broju u naslovu.

Savremeni izlaz ponekad prikazuje zbir umjesto stare formulacije “up”, a demonom koji upravlja swanctl stare stroke postavke uopšte ne upravljaju. Ne pretpostavljajte ni formulaciju ni pravilo brojanja kroz verzije.

Uporedite tri inventara prije nego što bilo šta promijenite

Počnite s onim što je učitano, zatim s onim što je pregovarano, pa s onim što zaista prenosi pakete. To su tri različita pitanja i svako ima svoju komandu.

swanctl --list-conns
swanctl --list-sas

Prvi navodi definicije veza koje je demon prihvatio. Drugi navodi uspostavljene IKE asocijacije s njihovom djecom, i tu se pojavljuje prava hijerarhija. Definicija koja postoji u datoteci ali je nema na prvom spisku nikada nije učitana, i nikakav broj ponovnih pokušaja inicijatora to neće popraviti. Ako umjesto toga pokrećete stari interfejs, ekvivalentan par je ipsec statusall i isti swanctl spisak, zavisno od toga koji dodatak posjeduje konfiguraciju. Ne miješajte alate između dva demona na jednom hostu i ne očekujte jedan usklađen odgovor.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Sirovi oblik drži identifikatore i selektore vidljivim za poređenje, a spisak stanja jezgra pokazuje šta stek misli da je instalirao. Kada se demon i jezgro razilaze, ili je demon restartovan oko postojećeg podređenog, ili je objekat jezgra uklonjen ispod njega.

Čitajte hijerarhiju, a ne zbir

Ilustrativni uspostavljeni roditelj s dvoje djece izgleda kao jedan čvor s dvoje djece ispod sebe, svako označeno svojim stanjem i režimom. Ispišite stvarni izlaz i sami prebrojte djecu umjesto da čitate sažetak koji je neko zalijepio s nadzorne ploče.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Jedan roditelj s dvoje instalirane djece zdrav je tunel za dvije podmreže. Jedan roditelj s jednim instaliranim i jednim odsutnim djetetom druga je situacija, a selektori djeteta koje nedostaje su ono što treba uporediti s predlogom daleke strane. Tokom obnove ključeva staro dijete i njegova zamjena mogu se nakratko pojaviti zajedno. Čuvajte vremensku oznaku uz snimak, jer brojanje uzeto nasred obnove izgleda kao dupliranje, a brojanje poslije nje kao gubitak.

Učitano, instalirano i saobraćaj koji prolazi

Dijete u instaliranom stanju ima pregovarane parametre i unos u jezgru. Ali ono nije nužno prenijelo paket: selektori mogu biti uži od saobraćaja koji očekujete, a ruta može poslati taj saobraćaj negdje drugdje prije nego što ga tunel uopšte vidi. Pošaljite tok koji odgovara pregovaranim selektorima s ovlaštenog hosta, pa čitajte brojače djeteta umjesto naslova. Brojač koji ostane na nuli dok stvarate odgovarajući saobraćaj ukazuje na rutiranje ili politiku, a ne na IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Pokretanje imenovanog djeteta namjerna je radnja s vidljivim rezultatom i razdvaja “veza miruje jer niko nije tražio” od “veza ne može da se podigne”. Politika zamke na zahtjev ponaša se tačno kao prvi slučaj, pa pročitajte postavku pokretanja veze prije nego što to nazovete kvarom.

Kada je broj zaista pogrešan

Ako definicija nedostaje u učitanom inventaru, pogledajte učitavanje konfiguracije i koja instanca demona radi. Ako je učitana ali nikada ne pregovara, uporedite predloge, kontekst provjere identiteta i selektore s partnerom, jedno dijete po jedno. Mijenjajte jedan element po pokušaju i zabilježite identifikator koji ste promijenili. Vraćanje predloga je trivijalno kada znate koji je; to je nagađanje poslije tri izmjene koje nikada nisu bile razdvojene.

Prvo ispravite pogrešno čitanje. Većina izvještaja o “nedostajućem” drugom tunelu završi s dvoje instalirane djece pod jednim roditeljem, a jedino što je ikada bilo pokvareno bila je linija sažetka kojoj su ljudi vjerovali umjesto hijerarhije.