ipsec.conf edo swanctl.conf? Aukeratu strongSwan frontend bat

Gida zahar bateko IKEv1 profil funtzional bat Ubuntu 24.04ra iristen da, eta lehen saiakera huts egiten du, demonioak fitxategia inoiz irakurri ez zuelako. Ohiko erantzuna profila berriro editatzea da. Benetako galdera da zein strongSwan frontend dagoen instalatuta eta zein erabiltzen duen martxan dagoen zerbitzuak. Hori erantzun arte, edizio bakoitzak agian existitzen ez den kargatzaile batera zuzentzen du.

Bi fitxategi, bi kargatzaile, demonio bat

starter antolamendu zaharrak ipsec.conf irakurtzen du eta konexioak charoni ematen dizkio bere kudeaketa integrazio zaharraren bidez. Bere sarrera-puntu operatiboa ipsec komandoa da.

swanctl antolamenduak definizioak VICI bidez kargatzen ditu, swanctl.conf irakurtzen du eta swanctl komandoak gidatzen du. systemd-ren jatorrizko charon demonioak hurbilketa horrekin bat egiten du.

Biak makin berean instala daitezke, eta hor hasten da nahasmena. /etc azpian dagoen fitxategi batek norbaitek idatzi zuela frogatzen du soilik, ez martxan dagoen prozesuak kargatu zuenik. Alternatiba guztiak instalatzeak, zein funtzionatzen duen ikusteko, bi kudeaketa-bide eta jabe argirik gabeko ostalari bat sortzen du. Aukeratu antolamendu bat eta kendu edo desgaitu bestea.

Irakurri instalatutako paketeak eta unitateak

Hasi irakurketa soilik moduan. Ubuntu 24.04-n paketeen izenak bereiziak dira: strongswan-starter, strongswan-swanctl eta charon-systemd. Falta den paketea informazio erabilgarria da, ez instalatzeko agindua.

Zerrendatu paketeak eta unitateak pasaaldi bakarrean:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Ondoren aztertu unitate aktiboa eta bere abiarazte-komandoa. Unitatearen izenak esaten du zein demoniok duen konfigurazioa, eta komando-lerroak baieztatzen du zein fitxategi irakurtzeko agindu zitzaion. Gaituta baina inaktibo dagoen unitate batek orain martxan dagoenak baino istorio ezberdina kontatzen du.

Unitate aktiboa strongswan-starter bada, garrantzitsua den fitxategia ipsec.conf da. swanctl duen charon-systemd bada, ipsec.conf apaingarri hutsa da.

Erabili dagokion kontrol-bidea

Frontend bakoitzak konexioen eta elkartzeen ikuspegi propioa du. swanctl --list-conns-ek kargatutako definizioak erakusten ditu eta swanctl --list-sas-ek elkarte aktiboak. Bide zaharrak ipsec statusall erabiltzen du.

Biak nahasteak akats engainagarriak sortzen ditu. Falta den VICI socket bat edo ukatu den kontrol-eskaera bat kudeaketa-bidearen arazoa da, ez parekoak autentifikazioa ukatu duen froga.

Irakurri martxan dagoen demonioari dagokion ikuspegia, eta gero interpretatu emaitza. Konexioa ikuspegi horretan ez badago, arazoa karga da, ez negoziazioa.

Formatua ez da IKE bertsioa

Profil zahar batek IKEv1 hautatzen du keyexchange=ikev1 erabiliz. swanctl konexio batek bertsio-ezarpena erabiltzen du, non 1-ek IKEv1 hautatzen duen. Hori ideia beraren bi hiztegi dira, ez bihurketa.

Parekoaren helbideak, tokiko eta urruneko identitateak, kredentzialen iturriak, proposamenak eta child hautatzaileak nahita mapatu behar dira. left/right blokea swanctl sintaxian itsasteak ez du horietako ezer egiten.

Protokoloaren bertsioa soilik aldatzea erdi-migrazioa ohikoena da. Kargatzen den fitxategi bat sortzen du eta gero autentifikazioan huts egiten du, bertsioarekin zerikusirik ez duten arrazoiengatik. IKEv1 bera RFC 9395-ek zaharkitu du, beraz oraindik eskatzen duen pareko existitzen den batek dokumentatutako bateragarritasun-murrizketa eta migrazio-bide bat merezi du, ez lehenetsitako balio berri bat.

Egiaztatu kargatzailea profila ukitu aurretik

Exekutatu lehenengo kargatzailearen egiaztapena, gero kargatu nahi den konexioa, gero ebaluatu negoziazioa eta azkenik babestutako trafikoaren bidea. Etapa bakoitzak huts-signatura desberdina du.

Bi kontrol-bideek karga-galderari zuzenean erantzuten diote:

swanctl --list-conns
ipsec statusall

Komando horietako bat soilik da zure ostalariarena. Biak exekutatzea eta irteera konparatzea zeinek gezurra esaten dizun aurkitzeko modua da, ez diagnostiko-metodoa.

Trata itzazu paketeen jabetza, konfigurazioaren karga eta protokoloaren bateragarritasuna hiru galdera bereizi gisa. Frontend baterako baliozkoa den fitxategia behin eta berriz editatuko da bestela, beste demonio bat martxan dagoen bitartean.