ipsec.conf või swanctl.conf? Valige üks strongSwan-frontend

Vanemast juhendist pärinev töötav IKEv1-profiil satub Ubuntu 24.04-le ja esimene katse ebaõnnestub, sest deemon ei lugenud faili kunagi. Tavaline reaktsioon on profiili uuesti muuta. Tegelik küsimus on, milline strongSwan-frontend on paigaldatud ja millist kasutab töötav teenus. Kuni sellele pole vastatud, suunatakse iga muudatus laadijale, mida ei pruugi olemagi.

Kaks faili, kaks laadijat, üks deemon

Vana starter-korraldus loeb ipsec.confi ja annab ühendused charonile üle oma vana haldusintegratsiooni kaudu. Selle tööline sisendpunkt on käsk ipsec.

swanctl-korraldus laadib definitsioonid VICI kaudu, loeb swanctl.confi ja seda juhitakse käsuga swanctl. systemd-omane charon-deemon integreerub selle lähenemisega.

Mõlemad võivad olla samas masinas paigaldatud ja just sealt algab segadus. Fail /etc all tõestab ainult, et keegi selle kirjutas, mitte et töötav protsess selle laadis. Kõigi alternatiivide paigaldamine, et näha, milline töötab, loob hosti kahe haldustee ja selge omanikuta. Valige üks korraldus ning eemaldage või keelake teine.

Lugege paigaldatud pakette ja üksusi

Alustage ainult lugemise režiimis. Pakettide nimed Ubuntu 24.04-l on eraldi: strongswan-starter, strongswan-swanctl ja charon-systemd. Puuduv pakett on kasulik teave, mitte korraldus see paigaldada.

Loetlege paketid ja üksused ühe läbimisega:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Seejärel uurige aktiivset üksust ja selle käivituskäsku. Üksuse nimi ütleb, milline deemon konfiguratsiooni omab, ja käsurida kinnitab, milliseid faile tal kästi lugeda. Üksus, mis on lubatud, kuid mitteaktiivne, räägib teistsugust lugu kui see, mis praegu töötab.

Kui aktiivne üksus on strongswan-starter, on tähtis fail ipsec.conf. Kui see on charon-systemd koos swanctl-ga, on ipsec.conf vaid kaunistus.

Kasutage sobivat haldusteed

Igal frontendil on oma vaade ühendustele ja assotsiatsioonidele. swanctl --list-conns näitab laaditud definitsioone ja swanctl --list-sas aktiivseid assotsiatsioone. Vana tee kasutab käsku ipsec statusall.

Nende segamine tekitab eksitavaid vigu. Puuduv VICI-pesa või tagasilükatud haldustaotlus on haldustee probleem, mitte tõestus, et vastaspool keeldus autentimisest.

Lugege vaadet, mis kuulub töötavale deemonile, seejärel tõlgendage tulemust. Kui ühendus selles vaates puudub, on probleem laadimises, mitte läbirääkimises.

Vorming ei ole IKE versioon

Vana profiil valib IKEv1 käsuga keyexchange=ikev1. swanctl-ühendus kasutab versiooniseadet, kus 1 valib IKEv1. Need on sama idee kaks sõnastikku, mitte teisendus.

Vastaspoole aadressid, kohalikud ja kauged identiteedid, volituste allikad, ettepanekud ja child-valijad tuleb sihilikult kaardistada. left/right-ploki kleepimine swanctl-süntaksisse ei tee sellest midagi.

Ainult protokolliversiooni muutmine on kõige levinum poolmigratsioon. See loob faili, mis laaditakse ja seejärel ei läbi autentimist versiooniga mitteseotud põhjustel. IKEv1 ise on RFC 9395-ga aegunud, seega olemasolev vastaspool, kes seda veel nõuab, väärib dokumenteeritud ühilduvuspiirangut ja migratsiooniteed, mitte uut vaikeväärtust.

Kontrollige laadijat enne profiili puutumist

Käivitage esmalt laadija kontroll, seejärel laadige kavandatud ühendus, siis hinnake läbirääkimist ja lõpuks kaitstud liikluse teed. Igal etapil on erinev tõrkeallkiri.

Kaks haldusteed vastavad laadimisküsimusele otseselt:

swanctl --list-conns
ipsec statusall

Ainult üks neist käskudest kuulub teie hostile. Mõlema käivitamine ja väljundi võrdlemine on viis avastada, milline teile valetab, mitte diagnostikameetod.

Käsitlege paketiomandit, konfiguratsiooni laadimist ja protokolli ühilduvust kolme eraldi küsimusena. Ühe frontendi jaoks kehtivat faili muudetakse muidu ikka ja jälle, samal ajal kui töötab teine deemon.