ipsec.conf vai swanctl.conf? Valitse yksi strongSwan-frontend

Vanhemmasta oppaasta peräisin oleva toimiva IKEv1-profiili päätyy Ubuntu 24.04:lle, ja ensimmäinen yritys epäonnistuu, koska daemon ei koskaan lukenut tiedostoa. Tavallinen reaktio on muokata profiilia uudelleen. Todellinen kysymys on, mikä strongSwan-frontend on asennettu ja mitä käynnissä oleva palvelu käyttää. Kunnes siihen vastataan, jokainen muokkaus kohdistuu lataajaan, jota ei ehkä ole olemassa.

Kaksi tiedostoa, kaksi lataajaa, yksi daemon

Vanha starter-järjestely lukee ipsec.conf-tiedostoa ja välittää yhteydet charonille vanhan hallintaintegraationsa kautta. Sen operatiivinen aloituspiste on ipsec-komento.

swanctl-järjestely lataa määritelmät VICI:n kautta, lukee swanctl.conf-tiedostoa ja sitä ohjaa swanctl-komento. systemd-natiivinen charon-daemon integroituu tähän lähestymistapaan.

Molemmat voidaan asentaa samalle koneelle, ja juuri siitä sekaannus alkaa. Tiedosto /etc:n alla todistaa vain, että joku kirjoitti sen, ei että käynnissä oleva prosessi latasi sen. Kaikkien vaihtoehtojen asentaminen, jotta näkisi mikä toimii, luo isäntäkoneen, jolla on kaksi hallintapolkua eikä selvää omistajaa. Valitse yksi järjestely ja poista tai poista käytöstä toinen.

Lue asennetut paketit ja unitit

Aloita vain luku -tilassa. Pakettien nimet Ubuntu 24.04:ssä ovat erillisiä: strongswan-starter, strongswan-swanctl ja charon-systemd. Puuttuva paketti on hyödyllistä tietoa, ei kehotus asentaa se.

Listaa paketit ja unitit yhdellä kerralla:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Tarkastele sitten aktiivista unitia ja sen käynnistyskomentoa. Unitin nimi kertoo, mikä daemon omistaa kokoonpanon, ja komentorivi vahvistaa, mitkä tiedostot sen käskettiin lukea. Unit, joka on otettu käyttöön mutta ei ole aktiivinen, kertoo eri tarinan kuin nyt käynnissä oleva.

Jos aktiivinen unit on strongswan-starter, ratkaiseva tiedosto on ipsec.conf. Jos se on charon-systemd ja swanctl, ipsec.conf on pelkkää koristelua.

Käytä vastaavaa hallintapolkua

Jokaisella frontendilla on oma näkemyksensä yhteyksistä ja assosiaatioista. swanctl --list-conns näyttää ladatut määritelmät ja swanctl --list-sas aktiiviset assosiaatiot. Vanha polku käyttää komentoa ipsec statusall.

Niiden sekoittaminen tuottaa harhaanjohtavia virheitä. Puuttuva VICI-socket tai hylätty hallintapyyntö on hallintapolun ongelma, ei todiste siitä, että vastapuoli hylkäsi todennuksen.

Lue näkymä, joka kuuluu käynnissä olevalle daemonille, ja tulkitse sitten tulos. Jos yhteys puuttuu siitä näkymästä, ongelma on lataamisessa, ei neuvottelussa.

Muoto ei ole IKE-versio

Vanha profiili valitsee IKEv1:n keyexchange=ikev1-asetuksella. swanctl-yhteys käyttää versioasetusta, jossa 1 valitsee IKEv1:n. Nämä ovat kaksi sanastoa samasta ideasta, ei muunnos.

Vastapuolen osoitteet, paikalliset ja etäidentiteetit, tunnistetietojen lähteet, ehdotukset ja child-valitsimet on kartoitettava tarkoituksella. left/right-lohkon liittäminen swanctl-syntaksiin ei tee mitään siitä.

Vain protokollaversion muuttaminen on yleisin puolittainen migraatio. Se tuottaa tiedoston, joka latautuu ja epäonnistuu sitten todennuksessa syistä, jotka eivät liity versioon. IKEv1 itsessään on vanhentunut RFC 9395:ssä, joten olemassa oleva vastapuoli, joka vaatii sitä yhä, ansaitsee dokumentoidun yhteensopivuusrajoituksen ja migraatiopolun, ei uutta oletusta.

Tarkista lataaja ennen profiiliin koskemista

Suorita ensin lataajan tarkistus, lataa sitten aiottu yhteys, arvioi sitten neuvottelu ja lopuksi suojatun liikenteen polku. Jokaisella vaiheella on erilainen epäonnistumisen allekirjoitus.

Kaksi hallintapolkua vastaavat latauskysymykseen suoraan:

swanctl --list-conns
ipsec statusall

Vain yksi näistä komennoista kuuluu isäntäkoneellesi. Molempien suorittaminen ja tulosteen vertailu on tapa selvittää, kumpi valehtelee sinulle, ei diagnoosimenetelmä.

Käsittele pakettien omistajuutta, kokoonpanon lataamista ja protokollan yhteensopivuutta kolmena erillisenä kysymyksenä. Yhdelle frontendille kelvollista tiedostoa muokataan muuten uudelleen ja uudelleen, kun taas toinen daemon on se, joka on käynnissä.