Üks üleval, null ühenduvat: mida see strongSwan-i rida loeb

Lugege olekurida, mis ütleb Security Associations (1 up, 0 connecting), ja see näeb välja nagu aruanne ühest töötavast tunnelist. Kaks alavõrku saadavad samal ajal selle kaudu liiklust, seega tundub number valetavat. See ei valeta; see loeb IKE-assotsiatsioone ja üks neist võib majutada mitut last. Lugege inventuure enne, kui puudutate ettepanekut või marsruuti.

Miks pealkiri ja liiklus ei klapi

Vana stroke’i väljund nimetab oma summat turvaassotsiatsioonideks ja tuletab selle IKE-assotsiatsioonide haldurist. Iga loodud IKE-assotsiatsioon annab ühe, olenemata sellest, kui palju CHILD SA selle all on. Üks IKEv2 vanem kannab tavaliselt mitut last, üks liiklusvalijate paari kohta, ja lapse kokkulepitud valijad võivad katta rohkem kui ühe aadressi või prefiksi. Seega ei ole teie konfiguratsioonis olevate aadresside arvul kindlat seost pealkirjas oleva numbriga.

Kaasaegne väljund näitab mõnikord summat vana sõnastuse “up” asemel ja swanctl-i hallatavat deemonit ei juhi vanad stroke’i seaded üldse. Ärge eeldage ei sõnastust ega loendusreeglit versioonide lõikes.

Võrrelge kolme inventuuri enne, kui midagi muudate

Alustage sellest, mis on laaditud, siis sellest, mis on kokku lepitud, siis sellest, mis tegelikult pakette liigutab. Need on kolm erinevat küsimust ja igal on oma käsk.

swanctl --list-conns
swanctl --list-sas

Esimene loetleb ühenduse definitsioonid, mille deemon vastu võttis. Teine loetleb loodud IKE-assotsiatsioonid koos nende lastega ja just seal ilmub tegelik hierarhia. Failis olev, kuid esimeses loendis puuduv definitsioon jäi kunagi laadimata ja ükski algataja korduskatsete arv ei paranda seda. Kui kasutate selle asemel vana liidest, on samaväärne paar ipsec statusall ja sama swanctl-i loend, sõltuvalt sellest, milline plugin konfiguratsiooni omab. Ärge segage tööriistu kahe deemoni vahel ühes hostis ja oodake ühte sidusat vastust.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Toorvorm hoiab identifikaatorid ja valijad võrdlemiseks nähtavana ning kerneli olekuloend näitab, mida virn arvab end paigaldanud olevat. Kui deemon ja kernel on eriarvamusel, on deemon kas olemasoleva lapse ümber taaskäivitatud või on kerneli objekt selle alt eemaldatud.

Lugege hierarhiat, mitte summat

Näitlik kinnistunud vanem kahe lapsega näeb välja nagu üks sõlm, mille all on kaks last, kumbki oma oleku ja režiimiga märgistatud. Väljastage tegelik väljund ja loendage lapsed ise, selle asemel et lugeda kokkuvõtet, mille keegi armatuurlaualt kleepis.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Üks vanem kahe paigaldatud lapsega on terve kahe alavõrgu tunnel. Üks vanem ühe paigaldatud ja ühe puuduva lapsega on teine olukord ning puuduva lapse valijad on see, mida tuleb võrrelda kaugema poole ettepanekuga. Võtmeuuenduse ajal võivad vana laps ja selle asendaja lühikese aja jooksul koos ilmuda. Hoidke ajatempel hetktõmmise juures, sest uuenduse keskel tehtud loendus näeb välja nagu dubleerimine ja pärast tehtud loendus nagu kadu.

Laaditud, paigaldatud ja liiklus, mis läbib

Paigaldatud olekus lapsel on kokkulepitud parameetrid ja kerneli kirje. Kuid see ei pruugi olla paketti kandnud: valijad võivad olla oodatavast liiklusest kitsamad ja marsruut võib selle liikluse mujale saata, enne kui tunnel seda üldse näeb. Saatke volitatud hostist voog, mis vastab kokkulepitud valijatele, ja lugege siis pealkirja asemel lapse loendureid. Loendur, mis jääb nulli, kui tekitategi vastavat liiklust, viitab marsruutimisele või poliitikale, mitte IKE-le.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Nimetatud lapse käivitamine on teadlik tegevus nähtava tulemusega ja see eristab olukorda “ühendus on jõude, sest keegi ei küsinud” olukorrast “ühendus ei saa üles tulla”. Nõudmisel püünispoliitika käitub täpselt nagu esimene juhtum, seega lugege ühenduse käivitamise seadet enne, kui nimetate seda rikkeks.

Kui loendus on tõesti vale

Kui definitsioon puudub laaditud inventuurist, vaadake konfiguratsiooni laadimist ja seda, milline deemonikoopia töötab. Kui see on laaditud, kuid ei lepi kunagi kokku, võrrelge ettepanekuid, autentimiskonteksti ja valijaid partneriga, üks laps korraga. Muutke katse kohta üht elementi ja kirjutage üles identifikaator, mille muutsite. Ettepaneku tagasipööramine on tühine, kui tead, milline; see on oletus pärast kolme muudatust, mida kunagi ei eraldatud.

Parandage esmalt vale lugemine. Enamik teateid “puuduva” teise tunneli kohta lõpevad kahe paigaldatud lapsega ühe vanema all ja ainus, mis kunagi katki oli, oli kokkuvõtterida, mida inimesed usaldasid hierarhia asemel.