Unu supre, nulo konektante: kion ĝuste kalkulas tiu strongSwan-linio

Legu statuslinion dirantan Security Associations (1 up, 0 connecting) kaj ĝi aspektas kiel raporto pri unu funkcianta tunelo. Du subretoj samtempe pasigas trafikon tra ĝi, do la nombro ŝajnas mensogi. Ĝi ne mensogas; ĝi kalkulas IKE-asociojn, kaj unu el ili povas gastigi plurajn infanojn. Legu la inventarojn antaŭ ol tuŝi proponon aŭ itineron.

Kial la titolo kaj la trafiko malkongruas

La malnova eligo de stroke nomas sian sumon sekurecaj asocioj kaj derivas ĝin de la IKE-asocia administranto. Ĉiu starigita IKE-asocio kontribuas unu, sendepende de kiom da CHILD SA kuŝas sub ĝi. Unu IKEv2-gepatro kutime portas plurajn infanojn, po unu por ĉiu paro de trafikselektiloj, kaj la interkonsentitaj selektiloj de infano povas kovri pli ol unu adreson aŭ prefikson. La nombro da adresoj en via agordo do havas neniun fiksan rilaton al la nombro en la titolo.

Moderna eligo foje montras sumon anstataŭ la malnova vortumo “up”, kaj demono administrata de swanctl tute ne estas regata de malnovaj stroke-agordoj. Ne supozu nek la vortumon nek la kalkulregulon trans versioj.

Komparu tri inventarojn antaŭ ol ŝanĝi ion

Komencu per tio, kio estas ŝargita, poste per tio, kio estas interkonsentita, poste per tio, kio efektive movas pakaĵojn. Tiuj estas tri malsamaj demandoj kaj ĉiu havas sian propran komandon.

swanctl --list-conns
swanctl --list-sas

La unua listigas konektodifinojn, kiujn la demono akceptis. La dua listigas starigitajn IKE-asociojn kun iliaj infanoj, kaj ĝuste tie aperas la reala hierarkio. Difino, kiu ekzistas en dosiero sed mankas en la unua listo, neniam estis ŝargita, kaj neniu nombro da ripetoj de la iniciatinto tion riparos. Se vi anstataŭe uzas la malnovan interfacon, la ekvivalenta paro estas ipsec statusall kaj la sama swanctl-listo, laŭ tio, kiu kromaĵo posedas la agordon. Ne miksigu ilojn inter du demonoj sur unu gastiganto kaj atendu unu koheran respondon.

swanctl --list-sas --raw | head -40
ip -s xfrm state

La kruda formo tenas identigilojn kaj selektilojn videblaj por komparo, kaj la kernstata listo montras, kion la stako kredas esti instalinta. Kiam la demono kaj la kerno malkonsentas, aŭ la demono restartis ĉirkaŭ ekzistanta infano, aŭ la kernobjekto estis forigita sub ĝi.

Legu la hierarkion, ne la sumon

Ilustra starigita gepatro kun du infanoj aspektas kiel unu nodo kun du infanoj sub ĝi, ĉiu etikedita per sia propra stato kaj reĝimo. Elĵetu la realan eligon kaj kalkulu la infanojn mem anstataŭ legi resumon, kiun iu enmetis el panelo.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Unu gepatro kun du instalitaj infanoj estas sana tunelo por du subretoj. Unu gepatro kun unu instalita kaj unu forestanta infano estas alia situacio, kaj la selektiloj de la mankanta infano estas tio, kion kompari kun la propono de la malproksima flanko. Dum ŝlosilrenovigo, malnova infano kaj ĝia anstataŭanto povas aperi kune dum mallonga fenestro. Konservu la tempostampon kun la momenta bildo, ĉar kalkulo prenita meze de renovigo aspektas kiel duobligo kaj kalkulo prenita poste aspektas kiel perdo.

Ŝargita, instalita kaj trafiko pasanta

Infano en la instalita stato havas interkonsentitajn parametrojn kaj kernan enskribon. Sed ĝi ne nepre portis pakaĵon: selektiloj povas esti pli mallarĝaj ol la trafiko, kiun vi atendas, kaj itinero povas sendi tiun trafikon aliloken antaŭ ol la tunelo eĉ vidas ĝin. Sendu fluon kongruan al la interkonsentitaj selektiloj de rajtigita gastiganto, poste legu la kalkulilojn de la infano anstataŭ la titolon. Kalkulilo, kiu restas je nulo dum vi generas kongruan trafikon, indikas itineradon aŭ politikon, ne IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Startigi nomatan infanon estas intenca ago kun videbla rezulto, kaj ĝi apartigas “la konekto estas senokupa ĉar neniu petis” de “la konekto ne povas leviĝi”. Petita kaptila politiko kondutas ĝuste kiel la unua kazo, do legu la startan agordon de la konekto antaŭ ol nomi ĝin paneo.

Kiam la kalkulo vere malĝustas

Se difino mankas en la ŝargita inventaro, rigardu la ŝargadon de la agordo kaj kiun demonan kazon vi funkciigas. Se ĝi estas ŝargita sed neniam interkonsentas, komparu proponojn, aŭtentigan kuntekston kaj selektilojn kun la partnero, unu infanon samtempe. Ŝanĝu unu elementon po provo kaj notu la identigilon, kiun vi ŝanĝis. Malfari proponon estas bagatelo, kiam vi scias kiun; ĝi estas konjekto post tri redaktoj, kiuj neniam estis apartigitaj.

Unue riparu la malĝustan legadon. Plej multaj raportoj pri “mankanta” dua tunelo finiĝas kun du instalitaj infanoj sub unu gepatro, kaj la sola afero, kiu iam estis rompita, estis la resuma linio, kiun homoj fidis anstataŭ la hierarkio.