Un i fyny, dim yn cysylltu: beth mae’r llinell strongSwan honno yn ei gyfrif

Darllenwch linell statws sy’n dweud Security Associations (1 up, 0 connecting) ac mae’n edrych fel adroddiad am un twnnel sy’n gweithio. Mae dau isrwydwaith yn pasio traffig drwyddo ar yr un pryd, felly mae’r rhif yn ymddangos fel pe bai’n dweud celwydd. Nid yw’n dweud celwydd; mae’n cyfrif cymdeithasau IKE, ac mae un ohonynt yn gallu cynnal sawl plentyn. Darllenwch y rhestrau stoc cyn i chi gyffwrdd â chynnig neu lwybr.

Pam mae’r pennawd a’r traffig yn anghytuno

Mae allbwn stroke hŷn yn galw ei gyfanswm yn gymdeithasau diogelwch ac yn ei ddeillio o reolwr cymdeithasau IKE. Mae pob cymdeithas IKE sefydledig yn cyfrannu un, ni waeth faint o CHILD SA sydd oddi tani. Mae un rhiant IKEv2 fel arfer yn cario sawl plentyn, un i bob pâr o ddetholwyr traffig, a gall detholwyr cyfundrefnol plentyn gynnwys mwy nag un cyfeiriad neu ragddodiad. Felly nid oes gan nifer y cyfeiriadau yn eich cyfluniad berthynas sefydlog â’r rhif yn y pennawd.

Mae allbwn modern weithiau’n dangos cyfanswm yn lle’r geiriad “up” hŷn, ac nid yw daemon a reolir gan swanctl yn cael ei yrru gan hen osodiadau stroke o gwbl. Peidiwch â chymryd yn ganiataol y geiriad na’r rheol gyfrif ar draws fersiynau.

Cymharwch dri rhestr stoc cyn newid unrhyw beth

Dechreuwch â’r hyn sydd wedi’i lwytho, yna’r hyn sydd wedi’i drafod, yna’r hyn sy’n symud pecynnau mewn gwirionedd. Mae’r rhain yn dri chwestiwn gwahanol ac mae gan bob un ei orchymyn ei hun.

swanctl --list-conns
swanctl --list-sas

Mae’r cyntaf yn rhestru diffiniadau cysylltiad a dderbyniodd y daemon. Mae’r ail yn rhestru cymdeithasau IKE sefydledig gyda’u plant, a dyna lle mae’r gwir hierarchaeth yn ymddangos. Diffiniad sydd mewn ffeil ond sydd ar goll o’r rhestr gyntaf ni chafodd ei lwytho erioed, ac ni fydd unrhyw faint o ailgeisiadau gan y cychwynnydd yn trwsio hynny. Os ydych yn rhedeg y rhyngwyneb hŷn yn lle hynny, y pâr cyfatebol yw ipsec statusall a’r un rhestr swanctl, yn dibynnu pa ategyn sy’n berchen ar y cyfluniad. Peidiwch â chymysgu offer rhwng dau daemon ar un gwesteiwr a disgwyl un ateb cydlynol.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Mae’r ffurf amrwd yn cadw dynodwyr a detholwyr yn weladwy i’w cymharu, ac mae’r rhestr cyflwr cnewyllyn yn dangos beth mae’r pentwr yn credu iddo’i osod. Pan fo’r daemon a’r cnewyllyn yn anghytuno, naill ai mae’r daemon wedi ailgychwyn o amgylch plentyn sy’n bodoli, neu mae gwrthrych y cnewyllyn wedi’i ddileu oddi tano.

Darllenwch yr hierarchaeth, nid y cyfanswm

Mae rhiant sefydledig darluniadol â dau blentyn yn edrych fel un nod â dau blentyn oddi tano, pob un wedi’i labelu â’i gyflwr a’i fodd ei hun. Dympwch yr allbwn gwirioneddol a chyfrifwch y plant eich hun yn lle darllen crynodeb a ludo rhywun o ddangosfwrdd.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Mae un rhiant â dau blentyn gosodedig yn dwnnel dau isrwydwaith iach. Mae un rhiant ag un plentyn gosodedig ac un plentyn absennol yn sefyllfa wahanol, a detholwyr y plentyn coll yw’r peth i’w gymharu â chynnig yr ochr bell. Yn ystod ail-allweddu allweddi, gall hen blentyn a’i olynydd ymddangos gyda’i gilydd am ffenestr fer. Cadwch y stamp amser gyda’r ciplun, oherwydd mae cyfrif a gymerir yng nghanol ail-allweddu yn edrych fel dyblygu ac un a gymerir wedyn yn edrych fel colled.

Llwytho, gosod a thraffig sy’n pasio

Mae plentyn yn y cyflwr gosodedig â pharamedrau wedi’u trafod a chofnod yn y cnewyllyn. Ond nid yw o reidrwydd wedi cario pecyn: gall detholwyr fod yn gulach na’r traffig rydych yn ei ddisgwyl, a gall llwybr anfon y traffig hwnnw i rywle arall cyn i’r twnnel ei weld. Anfonwch lif sy’n cyfateb i’r detholwyr a drafodwyd o westeiwr awdurdodedig, yna darllenwch gownteri’r plentyn yn lle’r pennawd. Mae cownter sy’n aros ar sero tra’ch bod yn cynhyrchu traffig cyfatebol yn pwyntio at lwybreiddio neu bolisi, nid at IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Mae cychwyn plentyn enwebedig yn weithred fwriadol ag canlyniad gweladwy, ac mae’n gwahanu “mae’r cysylltiad yn segur oherwydd na ofynnodd neb” oddi wrth “ni all y cysylltiad godi”. Mae polisi trap ar alw yn ymddwyn yn union fel y cyntaf, felly darllenwch osodiad cychwyn y cysylltiad cyn ei alw’n fai.

Pan fo’r cyfrif wir yn anghywir

Os yw diffiniad ar goll o’r rhestr stoc llwytho, edrychwch ar lwytho’r cyfluniad ac ar ba enghraifft o’r daemon sy’n rhedeg. Os yw wedi’i lwytho ond byth yn trafod, cymharwch gynigion, cyd-destun dilysu a detholwyr â’r cymar, un plentyn ar y tro. Newidiwch un elfen y tro a chofnodwch y dynodydd a newidiasoch. Mae dadwneud cynnig yn ddibwys pan wyddoch pa un; mae’n ddyfalu ar ôl tair golygiad na chawsant eu gwahanu erioed.

Trwsiwch y darlleniad anghywir yn gyntaf. Mae’r rhan fwyaf o adroddiadau am ail dwnnel “ar goll” yn gorffen â dau blentyn gosodedig o dan un rhiant, a’r unig beth a oedd erioed wedi torri oedd y llinell grynodeb yr oedd pobl yn ymddiried ynddi yn lle’r hierarchaeth.