Yksi ylhäällä, nolla yhdistämässä: mitä se strongSwan-rivi laskee

Lue tilasarake, joka sanoo Security Associations (1 up, 0 connecting), ja se näyttää raportilta yhdestä toimivasta tunnelista. Kaksi aliverkkoa kuljettaa liikennettä sen läpi samaan aikaan, joten luku näyttää valehtelevan. Se ei valehtele; se laskee IKE-liitoksia, ja yksi niistä voi majoittaa useita lapsia. Lue luettelot ennen kuin kosket ehdotukseen tai reittiin.

Miksi otsikko ja liikenne eivät täsmää

Vanha stroke-tuloste nimeää summansa suojaliitoksiksi ja johtaa sen IKE-liitosten hallinnasta. Jokainen muodostettu IKE-liitos antaa yhden, riippumatta siitä, kuinka monta CHILD SA:ta sen alla on. Yksi IKEv2-ylävanhempi kantaa tavallisesti useita lapsia, yhden liikennevalitsinparia kohden, ja lapsen neuvotellut valitsimet voivat kattaa useamman kuin yhden osoitteen tai etuliitteen. Siksi kokoonpanosi osoitteiden määrällä ei ole kiinteää suhdetta otsikon lukuun.

Nykyaikainen tuloste näyttää joskus summan vanhan “up”-muotoilun sijaan, eikä swanctlin hallitsemaa taustapalvelua ohjata lainkaan vanhoilla stroke-asetuksilla. Älä oleta muotoilua äläkä laskusääntöä versioiden välillä.

Vertaa kolmea luetteloa ennen kuin muutat mitään

Aloita siitä, mikä on ladattu, sitten siitä, mikä on neuvoteltu, sitten siitä, mikä todella siirtää paketteja. Ne ovat kolme eri kysymystä ja jokaisella on oma komentonsa.

swanctl --list-conns
swanctl --list-sas

Ensimmäinen luettelee yhteysmääritelmät, jotka taustapalvelu hyväksyi. Toinen luettelee muodostetut IKE-liitokset lapsineen, ja juuri siellä todellinen hierarkia näkyy. Määritelmä, joka on tiedostossa mutta puuttuu ensimmäisestä luettelosta, jäi koskaan lataamatta, eikä mikään määrä aloittajan uudelleenyrityksiä korjaa sitä. Jos ajat sen sijaan vanhaa rajapintaa, vastaava pari on ipsec statusall ja sama swanctl-luettelo, riippuen siitä mikä liitännäinen omistaa kokoonpanon. Älä sekoita työkaluja kahden taustapalvelun välillä samalla isännällä ja odota yhtä johdonmukaista vastausta.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Raakamuoto pitää tunnisteet ja valitsimet näkyvinä vertailua varten, ja ytimen tilaluettelo näyttää, mitä pino uskoo asentaneensa. Kun taustapalvelu ja ydin ovat eri mieltä, joko taustapalvelu käynnistettiin uudelleen olemassa olevan lapsen ympärille tai ydinobjekti poistettiin sen alta.

Lue hierarkiaa, älä summaa

Havainnollistava muodostettu ylävanhempi kahdella lapsella näyttää yhdeltä solmulta, jonka alla on kaksi lasta, kumpikin omalla tilallaan ja tilallaan merkittynä. Tulosta todellinen tuloste ja laske lapset itse sen sijaan, että lukisit yhteenvedon, jonka joku liitti kojelaudalta.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Yksi ylävanhempi kahdella asennetulla lapsella on terve kahden aliverkon tunneli. Yksi ylävanhempi yhdellä asennetulla ja yhdellä puuttuvalla lapsella on toinen tilanne, ja puuttuvan lapsen valitsimet ovat se, mitä verrataan etäpään ehdotukseen. Avainten uusimisen aikana vanha lapsi ja sen korvaaja voivat näkyä hetken molemmat. Säilytä aikaleima tilannekuvan kanssa, sillä uusimisen keskellä otettu laskenta näyttää kahdentumiselta ja sen jälkeen otettu laskenta menetykseltä.

Ladattu, asennettu ja liikenne, joka kulkee

Asennetussa tilassa olevalla lapsella on neuvotellut parametrit ja ydinmerkintä. Mutta se ei välttämättä ole kuljettanut pakettiakaan: valitsimet voivat olla odotettua liikennettä kapeammat, ja reitti voi lähettää liikenteen muualle ennen kuin tunneli näkee sen. Lähetä neuvoteltuja valitsimia vastaava virta valtuutetulta isännältä ja lue sitten otsikon sijaan lapsen laskurit. Laskuri, joka pysyy nollassa, kun luot vastaavaa liikennettä, viittaa reititykseen tai käytäntöön, ei IKEen.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Nimetyn lapsen käynnistäminen on tietoinen toimi, jolla on näkyvä tulos, ja se erottaa tilanteen “yhteys on joutilaana, koska kukaan ei pyytänyt” tilanteesta “yhteys ei voi nousta”. Pyydettäessä toimiva ansakäytäntö käyttäytyy täsmälleen kuten ensimmäinen tapaus, joten lue yhteyden käynnistysasetus ennen kuin kutsut sitä viaksi.

Kun laskenta on todella väärin

Jos määritelmä puuttuu ladatusta luettelosta, katso kokoonpanon latausta ja sitä, mikä taustapalvelun ilmentymä on käynnissä. Jos se on ladattu mutta ei koskaan neuvottele, vertaa ehdotuksia, todennuskontekstia ja valitsimia vastapuoleen, yksi lapsi kerrallaan. Muuta yhtä elementtiä yritystä kohden ja kirjaa muuttamasi tunniste. Ehdotuksen palauttaminen on triviaalia, kun tietää minkä; se on arvailua kolmen muokkauksen jälkeen, joita ei koskaan erotettu.

Korjaa ensin väärä luenta. Useimmat raportit “puuttuvasta” toisesta tunnelista päättyvät kahteen asennettuun lapseen yhden ylävanhemman alla, ja ainoa koskaan rikki ollut asia oli yhteenvetorivi, johon ihmiset luottivat hierarkian sijaan.