ipsec.conf neu swanctl.conf? Dewiswch un rhyngwyneb strongSwan

Mae proffil IKEv1 sy'n gweithio o hen ganllaw yn glanio ar Ubuntu 24.04, ac mae'r ymgais gyntaf yn methu oherwydd na ddarllenodd y daemon y ffeil erioed. Yr ymateb arferol yw golygu'r proffil eto. Y cwestiwn go iawn yw pa ryngwyneb strongSwan sydd wedi'i osod a pha un mae'r gwasanaeth sy'n rhedeg yn ei ddefnyddio. Hyd nes y cant ateb, mae pob golygiad yn anelu at lwythwr nad yw efallai'n bodoli.

Dwy ffeil, dau lwythwr, un daemon

Mae'r hen drefniant starter yn darllen ipsec.conf ac yn trosglwyddo cysylltiadau i charon drwy ei integreiddiad rheoli hen. Ei bwynt mynediad gweithredol yw'r gorchymyn ipsec.

Mae trefniant swanctl yn llwytho diffiniadau drwy VICI, yn darllen swanctl.conf, ac yn cael ei yrru gan y gorchymyn swanctl. Mae'r daemon charon sy'n frodorol i systemd yn integreiddio â'r dull hwnnw.

Gellir gosod y ddau ar yr un peiriant, a dyna lle mae'r dryswch yn dechrau. Mae ffeil o dan /etc ond yn profi bod rhywun wedi'i hysgrifennu, nid bod y broses sy'n rhedeg wedi'i llwytho. Mae gosod pob amgen i weld pa un sy'n gweithio yn creu gwesteiwr â dwy lwybr rheoli a heb berchentyaeth glir. Dewiswch un trefniant a thynnwch neu analluogwch y llall.

Darllenwch y pecynnau a'r unedau sydd wedi'u gosod

Dechreuwch yn y modd darllen yn unig. Mae enwau'r pecynnau ar Ubuntu 24.04 ar wahân: strongswan-starter, strongswan-swanctl a charon-systemd. Mae pecyn ar goll yn wybodaeth ddefnyddiol, nid yn gyfarwyddyd i'w osod.

Gwnewch restr o'r pecynnau a'r unedau mewn un pas:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Yna archwiliwch yr uned weithredol a'i gorchymyn cychwyn. Mae enw'r uned yn dweud pa daemon sy'n berchen ar y ffurfweddiad, ac mae'r llinell orchymyn yn cadarnhau pa ffeiliau y gofynnwyd iddo eu darllen. Mae uned sydd wedi'i galluogi ond yn anweithredol yn adrodd stori wahanol i un sy'n rhedeg nawr.

Os mai strongswan-starter yw'r uned weithredol, ipsec.conf yw'r ffeil sy'n cyfrif. Os mai charon-systemd gyda swanctl yw hi, mae ipsec.conf ond yn addurn.

Defnyddiwch y llwybr rheoli cyfatebol

Mae gan bob rhyngwyneb ei olwg ei hun ar gysylltiadau a chymdeithasau. Mae swanctl --list-conns yn dangos y diffiniadau sydd wedi'u llwytho ac mae swanctl --list-sas yn dangos y cymdeithasau gweithredol. Mae'r hen lwybr yn defnyddio ipsec statusall.

Mae eu cymysgu yn cynhyrchu gwallau camarweiniol. Mae soced VICI ar goll neu gais rheoli wedi'i wrthod yn broblem llwybr rheoli, nid yn dystiolaeth bod y cymar wedi gwrthod dilysu.

Darllenwch yr olwg sy'n perthyn i'r daemon sy'n rhedeg, ac yna dehonglwch y canlyniad. Os yw'r cysylltiad yn absennol o'r olwg honno, y broblem yw llwytho, nid trafod.

Nid fformat yw'r fersiwn IKE

Mae hen broffil yn dewis IKEv1 gyda keyexchange=ikev1. Mae cysylltiad swanctl yn defnyddio gosodiad fersiwn, lle mae 1 yn dewis IKEv1. Dau eirfa ar gyfer yr un syniad yw'r rhain, nid trosiad.

Rhaid mapio cyfeiriadau'r cymar, hunaniaethau lleol ac anghysbell, ffynonellau tystlythyrau, cynigion a detholwyr child yn fwriadol. Nid yw gludo bloc left/right i gystrawen swanctl yn gwneud dim o hynny.

Newid fersiwn y protocol yn unig yw'r hanner-mudo mwyaf cyffredin. Mae'n cynhyrchu ffeil sy'n llwytho ac yna'n methu dilysu am resymau nad ydynt yn gysylltiedig â'r fersiwn. Mae IKEv1 ei hun wedi'i ddirprwyo gan RFC 9395, felly mae cymar presennol sy'n dal i'w alw yn haeddu cyfyngiad cydnawsedd wedi'i ddogfennu a llwybr mudo, nid diofyn newydd.

Gwiriwch y llwythwr cyn cyffwrdd â'r proffil

Rhedwch y prawf llwythwr yn gyntaf, yna llwythwch y cysylltiad a fwriadwyd, yna gwerthuswch y trafod, yna'r llwybr traffig gwarchodedig. Mae gan bob cam lofnod methiant gwahanol.

Mae'r ddau lwybr rheoli yn ateb y cwestiwn llwytho'n uniongyrchol:

swanctl --list-conns
ipsec statusall

Dim ond un o'r gorchmynion hynny sy'n perthyn i'ch gwesteiwr. Mae rhedeg y ddau a chymharu'r allbwn yn ffordd o ddarganfod pa un sy'n dweud celwydd wrthych, nid yn ddull diagnostig.

Triniwch berchentyaeth pecynnau, llwytho ffurfweddiad a chydnawsedd protocol fel tri chwestiwn ar wahân. Bydd ffeil sy'n ddilys i un rhyngwyneb yn cael ei golygu dro ar ôl tro tra bod daemon arall yn rhedeg.