strongSwan profila kargatu bat ez da tunel aktibo bat
strongSwanek definizioak kargatzen ditu, eta gero IKE eta CHILD SA-ak negoziatzen ditu. Profila kargatuta egoteak ez du ezer esaten tunel bat badagoen edo nork abiarazten duen.
strongSwan konfigurazioan konexio bat zerrendatzeak definizio bat kargatu dela baino ez du frogatzen. Ez du esan nahi parearekin harremanetan jarri denik, IKE SA bat badagoenik edo trafikoen bat babestuta dagoenik. Daemonak definizioak eta bizirik dauden elkarketak objektu bereizitzat hartzen ditu, eta bien arteko distantzia diseinu-erabaki deliberatea da. Zein objektu ikertzen ari zaren jakiteak huts egite lauso bat hurrengo komando zehatz bihurtzen du.
Kargatzea ez da konektatzea
Kargatutako konexio bat geroago negozia daitekeenaren adierazpena da: parearen helbideak, kredentzialak, proposamenak eta trafiko-hautatzaileak. Adierazpen horretan ezerk ez dio daemonari inori deitu beharrik. Gateway batek beste aldea itxaron dezake, abioan hasi edo bat etortzen den trafikoak esna dezan itxaron dezake. Hirurak baliozkoak dira, eta hirurak berdinak dira konfigurazio-fitxategian hasierako politika irakurtzen duzun arte.
Eragileek arazoak izaten dituzte definizio-zerrenda egoera-zerrenda gisa irakurtzean. Profila han dago, beraz tunela martxan dagoela suposatzen da, eta hurrengo ordua inoiz eraiki ez zen elkarte baten ibilbideak arazteko erabiltzen da.
Kontrako akatsa bezain ohikoa da. Falta den profil batek jendea sareko akats baten bila bidaltzen du konfigurazioa inoiz kargatu ez denean. Izenda ezazu objektua eta, ondoren, exekuta ezazu behatzen duen komandoa.
Hiru objektu, hiru behaketa
strongSwanek kargatutako definizio bat, IKE SA bat eta CHILD SA bat gordetzen ditu. Lehena konfigurazioa da, bigarrena autentifikatutako kontrol-harremana, eta hirugarrena hautatutako trafikoarentzako negoziatutako babesa. Izen bereiziak ere badituzte, beraz hq izeneko profil batek hq-lan izeneko child bat izan dezake.
Taulak geruza bakoitza erakusten duen komandoarekin lotzen du. Irakurri errenkada erregistroa irakurri aurretik.
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
Child-a eskatzeak haren guraso IKE SA eraikitzen du lehenengo, horrelakorik ez dagoenean. IKE SA soilik eskatzea beste dei bat da. Ondo autentifikatzen den kontrol-kanal batek ez du eskatutako child-a bermatzen.
Diferentzia horrek garrantzia du huts egite partzial batean. IKE SA bat osasuntsu egon daiteke bitartean child-ak huts egiten du hautatzaileen desadostasunagatik edo pareak onartzen ez duen proposamen batengatik. Bi objektuek arrazoi desberdinengatik huts egiten dute, beraz behaketa bereiziak merezi dituzte.
Aukeratu hasierako ekintza nahita
swanctl.conf fitxategian, child baten start_action-ek kargatu osteko portaera erabakitzen du. none lehenetsitako balioak eskuzko hasierari edo responder gisa erabiltzeari uzten dio definizioa. start-ek markatu egiten du, bitartean trap-ek trafiko bat etortzen den bezain laster negoziatzen duen politika uzten du.
Beraz, «kargatzeak inoiz ez du tunel bat abiarazten» eta «kargatzeak beti abiarazten du bat» biak dira faltsuak. Ekintza profilaren parte da, eta parearen rolarekin bat etorri behar du. Beste aldea itxaroten duten bi gatewayek isiltasuna sortzen dute, ez tunel bat.
trap-ekin, trafikoak hautatzaileekin bat etorri behar du, beraz erlazionik gabeko ping batek ez du ezer esnatzen. start-ekin, parearen helbidea erabilgarria izan behar da eta bi aldeek autentifikazioan eta proposamenetan ados egon behar dute. Bi ekintzetako batek ere ez du baldintza horiek egiaztatzea ordezkatzen.
Berreskuratzea politika bereizi bat da
Abioa ez da keepalive bat. Pare hilaren detekzioa, parearen itxiera esplizitua, gakoen berritzea eta prozesuaren berrabiaraztea bizitza-zikloko gertaera desberdinak dira, beren ezarpenekin. Konfigura itzazu bakoitza nahita, hasierako abio batek guztiak estaliko dituela espero beharrean.
Abioan igotzen den eta ordubete geroago hiltzen den tunel bat berreskuratze-kontua da. Hasierako politikak bere lana egin zuen eta gero garrantzia izateari utzi zion. Begira itzazu DPD eta gakoen berritzearen ezarpenak hasierako negoziazioari errua bota aurretik.
Kargatutako definizioak ordezkatzea eragiketa propio bat da. Lehenetsiak ez diren hasierako politikek alderantzizko ekintza dokumentatuak dituzte, eta birkarga aldaketa operatiboa da, elkarte bakoitza tokian bertan eguneratu zela suposatzea baino. Egin birkargak etapaka, berriz konektatzea onargarria den tokietan. Mantendu konfigurazio zaharra berria frogatu arte.
Egiaztatu zer dagoen bideratzea araztu aurretik
Exekutatu hiru behaketak ordenan: kargatutako definizioak, IKE SA aktiboak eta child sarrerak. Erantzun bakoitzak hurrengo galdera estutzen du. Saltatu urrats bat eta inoiz eraiki ez zen geruza bat araztuko duzu.
Hasi kargatuta dagoenarekin eta benetan ezarrita dagoenarekin:
swanctl --list-conns
swanctl --list-sasChild-a falta bada profila zuzena den bitartean, hasi ezazu izenaren bidez eta behatu zer gertatzen den. Irteerak esaten du normalean gurasoa lehenago igo zen.
swanctl --initiate --child hq-lanCHILD SA aktibo bat ez da helmuga. Birbidaltze-arauak, ibilbideak eta aplikazioaren beraren baimenak bat etorri behar dute oraindik. Bizitza-zikloak negoziatutakoa erantzuten du; ezin du erabaki nori dagokion zerbitzua erabiltzea.