Un aixecat, zero connectant: què compta aquesta línia de strongSwan

Llegiu una línia d’estat que diu Security Associations (1 up, 0 connecting) i sembla un informe d’un túnel que funciona. Dues subxarxes hi passen trànsit alhora, així que el número sembla mentir. No menteix; compta associacions IKE, i una d’aquestes pot allotjar diverses filles. Llegiu els inventaris abans de tocar una proposta o una ruta.

Per què el titular i el trànsit no coincideixen

La sortida antiga de stroke anomena el seu total associacions de seguretat i el deriva del gestor d’associacions IKE. Cada associació IKE establerta n’aporta una, independentment de quantes CHILD SA hi hagi a sota. Un sol pare IKEv2 sol portar diverses filles, una per parell de selectors de trànsit, i els selectors negociats d’una filla poden cobrir més d’una adreça o prefix. El nombre d’adreces de la vostra configuració no té, doncs, cap relació fixa amb el número del titular.

La sortida moderna de vegades mostra un total en lloc de la formulació antiga “up”, i un dimoni gestionat per swanctl no es regeix gens pels paràmetres antics de stroke. No donem per feta ni la formulació ni la regla de recompte entre versions.

Compareu tres inventaris abans de canviar res

Comenceu pel que està carregat, després pel que està negociat, després pel que realment mou paquets. Són tres preguntes diferents i cadascuna té la seva ordre.

swanctl --list-conns
swanctl --list-sas

La primera llista les definicions de connexió que el dimoni ha acceptat. La segona llista les associacions IKE establertes amb les seves filles, i és aquí on apareix la jerarquia real. Una definició present en un fitxer però absent de la primera llista no es va carregar mai, i cap quantitat de reintents de l’iniciador ho arreglarà. Si en canvi feu servir la interfície antiga, la parella equivalent és ipsec statusall i la mateixa llista de swanctl, segons quin connector posseeixi la configuració. No barregeu eines entre dos dimonis en un mateix amfitrió i espereu una única resposta coherent.

swanctl --list-sas --raw | head -40
ip -s xfrm state

La forma crua manté els identificadors i els selectors visibles per comparar, i la llista d’estat del nucli mostra què creu la pila que ha instal·lat. Quan el dimoni i el nucli no coincideixen, o el dimoni s’ha reiniciat al voltant d’una filla existent, o l’objecte del nucli s’ha eliminat per sota.

Llegiu la jerarquia, no el total

Un pare establert il·lustratiu amb dues filles sembla un sol node amb dues filles a sota, cadascuna etiquetada amb el seu estat i mode. Buideu la sortida real i compteu les filles vosaltres mateixos en lloc de llegir un resum que algú ha enganxat d’un tauler.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Un pare amb dues filles instal·lades és un túnel sa de dues subxarxes. Un pare amb una filla instal·lada i una d’absent és una altra situació, i els selectors de la filla que falta són el que cal comparar amb la proposta del costat remot. Durant la renovació de claus, una filla antiga i la seva substituta poden aparèixer juntes durant una finestra curta. Guardeu la marca de temps amb la instantània, perquè un recompte fet a mitja renovació sembla duplicació i un de fet després sembla pèrdua.

Carregat, instal·lat i trànsit que passa

Una filla en estat instal·lat té paràmetres negociats i una entrada al nucli. Però no necessàriament ha portat cap paquet: els selectors poden ser més estrets que el trànsit que espereu, i una ruta pot enviar aquest trànsit a un altre lloc abans que el túnel el vegi. Envieu un flux que coincideixi amb els selectors negociats des d’un amfitrió autoritzat, i després llegiu els comptadors de la filla en lloc del titular. Un comptador que es queda a zero mentre genereu trànsit coincident apunta a encaminament o política, no a IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Iniciar una filla amb nom és una acció deliberada amb un resultat visible, i separa “la connexió està inactiva perquè ningú no ho ha demanat” de “la connexió no pot pujar”. Una política de trampa a la demanda es comporta exactament com el primer cas, així que llegiu el paràmetre d’inici de la connexió abans de qualificar-ho de fallada.

Quan el recompte és realment erroni

Si falta una definició a l’inventari carregat, mireu la càrrega de la configuració i quina instància del dimoni s’executa. Si està carregada però no negocia mai, compareu propostes, context d’autenticació i selectors amb el parell, una filla alhora. Canvieu un element per intent i anoteu l’identificador que heu canviat. Revertir una proposta és trivial quan sabeu quina és; és endevinar després de tres edicions que mai no s’han separat.

Primer arregleu la lectura equivocada. La majoria d’informes d’un segon túnel “que falta” acaben amb dues filles instal·lades sota un sol pare, i l’única cosa que mai no va estar trencada era la línia de resum en què la gent confiava en lloc de la jerarquia.