Nid yw proffil strongSwan wedi'i lwytho yn dwnnel gweithredol
Mae strongSwan yn llwytho diffiniadau ac yna'n trafod IKE a CHILD SA. Nid yw'r ffaith bod proffil wedi'i lwytho yn dweud dim am fodolaeth twnnel na phwy sy'n ei gychwyn.
Mae rhestru cysylltiad yng nghyfluniad strongSwan yn profi'n unig fod diffiniad wedi'i lwytho. Nid yw'n golygu bod y cymar wedi'i gysylltu, bod IKE SA yn bodoli nac bod unrhyw draffig yn cael ei warchod. Mae'r daemon yn trin diffiniadau a chysylltiadau byw fel gwrthrychau ar wahân, ac mae'r pellter rhyngddynt yn ddewis dylunio bwriadol. Mae gwybod pa wrthrych rydych chi'n ei archwilio yn troi methiant annelwig yn orchymyn nesaf penodol.
Nid yw llwytho yn gysylltu
Mae cysylltiad wedi'i lwytho yn ddatganiad o'r hyn y gellir ei drafod yn ddiweddarach: cyfeiriadau'r cymar, tystlythyrau, cynigion a detholwyr traffig. Nid oes dim yn y datganiad hwnnw yn mynnu bod y daemon wedi ffonio unrhyw un. Gall porth aros am yr ochr arall, cychwyn ei hun wrth gychwyn, neu aros i draffig cyfatebol ei ddeffro. Mae'r tri yn ddilys, ac mae'r tri yn edrych yr un fath yn y ffeil gyfluniad nes i chi ddarllen y polisi cychwyn.
Mae gweithredwyr yn mynd i drafferth trwy ddarllen y rhestr diffiniadau fel rhestr statws. Mae'r proffil yno, felly tybir bod y twnnel i fyny, ac mae'r awr nesaf yn mynd i ddatfacio llwybrau ar gyfer cysylltiad na chafodd ei adeiladu erioed.
Mae'r camgymeriad arall yr un mor gyffredin. Mae proffil ar goll yn anfon pobl i chwilio am fai rhwydwaith pan na chafodd y cyfluniad ei lwytho erioed. Enwch y gwrthrych, yna rhedeg y gorchymyn sy'n ei arsylwi.
Tri gwrthrych, tair arsylwad
Mae strongSwan yn cadw diffiniad wedi'i lwytho, IKE SA a CHILD SA. Y cyntaf yw cyfluniad, yr ail yw perthynas reoli wedi'i dilysu, a'r trydydd yw amddiffyniad wedi'i drafod ar gyfer traffig dethol. Mae ganddynt enwau ar wahân hyd yn oed, felly gall proffil o'r enw hq fod â child o'r enw hq-lan.
Mae'r tabl yn cysylltu pob haen â'r gorchymyn sy'n ei dangos. Darllenwch y rhes cyn darllen y log.
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
Mae gofyn am y child yn adeiladu ei IKE SA rhiant yn gyntaf pan nad oes yr un. Mae gofyn am IKE SA yn unig yn alwad wahanol. Nid yw sianel reoli sy'n dilysu'n iawn yn gwarantu'r child a ofynasoch amdano.
Mae'r gwahaniaeth hwnnw'n bwysig yn ystod methiant rhannol. Gall IKE SA fod yn iach tra bod y child yn methu ar gamgyfatebiaeth detholydd neu gynnig nad yw'r cymar yn ei dderbyn. Mae'r ddau wrthrych yn methu am resymau gwahanol, felly maent yn haeddu arsylwadau ar wahân.
Dewiswch y weithred gychwyn yn fwriadol
Yn swanctl.conf, mae start_action child yn penderfynu ar ymddygiad ar ôl llwytho. Mae'r rhagosodiad none yn gadael y diffiniad ar gyfer cychwyn â llaw neu ddefnydd fel responder. Mae start yn ei ddeialu, tra bod trap yn gadael polisi sy'n trafod cyn gynted ag y daw traffig cyfatebol i'r golwg.
Felly mae «nid yw llwytho byth yn cychwyn twnnel» a «mae llwytho bob amser yn cychwyn un» ill dau yn anghywir. Mae'r weithred yn rhan o'r proffil a dylai gyd-fynd â rôl y cymar. Mae dwy borth sy'n aros ill dwy am yr ochr arall yn cynhyrchu distawrwydd, nid twnnel.
Gyda trap rhaid i'r traffig gyd-fynd â'r detholwyr, felly ni fydd ping amherthnasol yn deffro unrhyw beth. Gyda start rhaid i gyfeiriad y cymar fod yn ddefnyddiadwy a rhaid i'r ddwy ochr gytuno ar ddilysu a chynigion. Nid yw'r naill weithred na'r llall yn cymryd lle gwirio'r amodau hynny.
Mae adferiad yn bolisi ar wahân
Nid yw cychwyn yn keepalive. Mae canfod cymar marw, cau amlwg gan y cymar, adnewyddu allweddi ac ailgychwyn proses yn ddigwyddiadau cylch bywyd gwahanol sydd â'u gosodiadau eu hunain. Ffurfweddwch bob un yn fwriadol yn lle disgwyl i gychwyn cychwynnol eu cynnwys i gyd.
Mae twnnel sy'n codi wrth gychwyn ac yn marw awr yn ddiweddarach yn gwestiwn adferiad. Gwnaeth y polisi cychwyn ei waith ac yna stopiodd fod o bwys. Edrychwch ar osodiadau DPD ac adnewyddu allweddi cyn beio'r drafodaeth gychwynnol.
Mae disodli diffiniadau wedi'u llwytho yn weithrediad ar wahân. Mae gan bolisïau cychwyn nad ydynt yn rhagosodedig gamau gwrthdro dogfennedig, ac mae ail-lwytho yn newid gweithredol yn hytrach na thybiaeth bod pob cysylltiad wedi'i ddiweddaru yn ei le. Perfformiwch ail-lwytho mewn camau, lle mae ailgysylltu yn dderbyniol. Cadwch y cyfluniad hen nes bod yr un newydd wedi'i brofi.
Gwiriwch beth sy'n bodoli cyn datfacio llwybro
Rhedwch y tair arsylwad yn eu trefn: diffiniadau wedi'u llwytho, IKE SA gweithredol a chofnodion child. Mae pob ateb yn culhau'r cwestiwn nesaf. Hidiwch gam ac yn y pen draw byddwch yn datfacio haen na chafodd ei hadeiladu erioed.
Dechreuwch gyda'r hyn sydd wedi'i lwytho a'r hyn sydd wedi'i sefydlu mewn gwirionedd:
swanctl --list-conns
swanctl --list-sasOs yw'r child ar goll tra bod y proffil yn gywir, cychwynnwch ef wrth ei enw a sylwch beth sy'n digwydd. Mae'r allbwn fel arfer yn dweud a gododd y rhiant gyntaf.
swanctl --initiate --child hq-lanNid CHILD SA gweithredol yw'r llinell derfyn. Mae rheolau anfon, llwybrau ac awdurdodiad y cymhwysiad ei hun yn dal i orfod cyd-fynd. Mae'r cylch bywyd yn ateb beth a drafodwyd; ni all benderfynu pwy ganiateir i ddefnyddio'r gwasanaeth.