Bat gora, zero konektatzen: zer zenbatzen du strongSwan lerro horrek

Irakurri Security Associations (1 up, 0 connecting) dioen egoera-lerro bat eta tunel bat funtzionatzen duen txosten bat dirudi. Bi azpisarek aldi berean igarotzen dute trafikoa bertatik, beraz zenbakiak gezurra esaten duela dirudi. Ez du gezurrik esaten; IKE-elkarteak zenbatzen ditu, eta horietako batek hainbat seme har ditzake. Irakurri inbentarioak proposamen edo ibilbide bat ukitu aurretik.

Zergatik ez datoz bat izenburua eta trafikoa

Stroke irteera zaharrak bere guztizkoa segurtasun-elkarte deitzen du eta IKE-elkarteen kudeatzailerik ateratzen du. Finkatutako IKE-elkarte bakoitzak bat ematen du, azpian zenbat CHILD SA dauden kontuan hartu gabe. IKEv2 guraso bakar batek hainbat seme izaten ditu normalean, trafiko-hautatzaile pare bakoitzeko bat, eta seme baten negoziatutako hautatzaileek helbide edo aurrizki bat baino gehiago estal ditzakete. Beraz, zure konfigurazioko helbide kopuruak ez du erlazio finkorik izenburuko zenbakiarekin.

Irteera modernoak batzuetan guztizko bat erakusten du “up” idazkera zaharraren ordez, eta swanctl-k kudeatutako daemon bat ez da inola ere stroke ezarpen zaharrek gidatzen. Ez hartu ziurtzat ez idazkera ez zenbaketa-araua bertsioen artean.

Konparatu hiru inbentario ezer aldatu aurretik

Hasi kargatuta dagoenarekin, gero negoziatuta dagoenarekin, gero paketeak benetan mugitzen dituenarekin. Hiru galdera desberdin dira eta bakoitzak bere komandoa du.

swanctl --list-conns
swanctl --list-sas

Lehenak daemonak onartutako konexio-definizioak zerrendatzen ditu. Bigarrenak finkatutako IKE-elkarteak beren semeekin zerrendatzen ditu, eta han agertzen da benetako hierarkia. Fitxategi batean dagoen baina lehen zerrendan ez dagoen definizio bat ez zen inoiz kargatu, eta hasieratzailearen saiakera kopuruak ez du konponduko. Horren ordez interfaze zaharra erabiltzen baduzu, baliokidea den bikotea ipsec statusall eta swanctl zerrenda bera dira, konfigurazioa zein pluginek duen arabera. Ez nahastu tresnak bi daemonen artean ostalari berean eta ez itxaron erantzun koherente bakarra.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Forma gordinak identifikatzaileak eta hautatzaileak ikusgai mantentzen ditu konparatzeko, eta nukleoaren egoera-zerrendak pilak instalatu duela uste duena erakusten du. Daemona eta nukleoa bat ez datozenean, daemona lehendik dagoen seme baten inguruan berrabiarazi da edo nukleoaren objektua haren azpitik kendu da.

Irakurri hierarkia, ez guztizkoa

Bi seme dituen finkatutako guraso ilustratibo bat azpian bi seme dituen nodo bat dirudi, bakoitza bere egoera eta moduarekin etiketatuta. Bota benetako irteera eta zenbatu semeak zuk zeuk, norbaitek paneletik itsatsitako laburpen bat irakurri beharrean.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Bi seme instalatuta dituen guraso bat bi azpisareko tunel osasuntsua da. Seme bat instalatuta eta beste bat falta dituen gurasoa egoera desberdina da, eta falta den semearen hautatzaileak dira urruneko aldearen proposamenarekin konparatu beharrekoak. Gakoen berritzean, seme zahar bat eta haren ordezkoa elkarrekin ager daitezke leiho labur batez. Gorde denbora-marka une-kapturarekin, berritzearen erdian hartutako zenbaketak bikoizketa dirudi eta geroago hartutakoak galera.

Kargatuta, instalatuta eta trafikoa igarotzen

Instalatutako egoeran dagoen seme batek negoziatutako parametroak eta nukleoan sarrera bat ditu. Baina ez du nahitaez paketerik eraman: hautatzaileak espero duzun trafikoa baino estuagoak izan daitezke, eta ibilbide batek trafiko hori beste toki batera bidal dezake tunelek ikusi aurretik. Bidali negoziatutako hautatzaileekin bat datorren fluxua baimendutako ostalaritik, eta gero irakurri semearen kontagailuak izenburuaren ordez. Trafiko egokia sortzen ari zaren bitartean zeroan geratzen den kontagailuak bideratzea edo politika seinalatzen ditu, ez IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Izena duen seme bat abiaraztea emaitza ikusgai duen ekintza deliberatua da, eta “konexioa alferrik dago inork eskatu ez duelako” eta “konexioa ezin da altxatu” bereizten ditu. Eskaripeko tranpa-politika lehen kasuaren berdin jokatzen du, beraz irakurri konexioaren abiarazte-ezarpena hutsegite deitu aurretik.

Zenbaketa benetan okerra denean

Definizioren bat kargatutako inbentarioan falta bada, begiratu konfigurazioaren karga eta zein daemon instantzia ari den. Kargatuta badago baina inoiz negoziatzen ez bada, konparatu proposamenak, autentifikazio-testuingurua eta hautatzaileak parearekin, seme bat aldiko. Aldatu elementu bat saiakera bakoitzeko eta idatzi aldatu duzun identifikatzailea. Proposamen bat atzera botatzea erraza da zein den badakizuenean; asmakizuna da inoiz bereizi ez ziren hiru aldaketen ondoren.

Konpondu lehenik irakurketa okerra. “Falta den” bigarren tunelari buruzko txosten gehienak guraso baten azpian instalatutako bi semerekin amaitzen dira, eta inoiz hautsi zen gauza bakarra jendeak hierarkiaren ordez fidatzen zuen laburpen-lerroa izan zen.