In laden strongSwan-profil is gjin aktive tunnel
strongSwan laadt definysjes en ûnderhannelt dêrnei IKE- en CHILD-SA's. Dat in profyl laden is, seit neat oer oft der in tunnel bestiet of wa't him start.
In ferbining yn de strongSwan-konfiguraasje opsomme bewiist allinnich dat der in definysje laden is. It betsjut net dat de peer benadere is, dat der in IKE-SA bestiet, of dat der ferkear beskerme wurdt. De daemon behannelet definysjes en libbene assosjaasjes as aparte objekten, en de ôfstân dêrtusken is in bewuste ûntwerpkar. Witte hokker objekt oft jo besjenje, makket fan in ûndúdlike flater in konkreet folgjende kommando.
Laden is net ferbinen
In laden ferbining is in útspraak oer wat letter ûnderhannele wurde kin: peeradressen, oanmeldgegevens, foarstellen en ferkearsselekteurs. Neat yn dy útspraak freget dat de daemon immen belle hat. In gateway kin op de oare kant wachtsje, by it opstarten sels inisjearje, of wachtsje oant passend ferkear him wekket. Alle trije binne jildich, en alle trije sjogge der itselde út yn it konfiguraasjebestân oant jo it startbelied lêze.
Behearders komme yn de problemen troch de definysjelist as statuslist te lêzen. It profyl is der, dus wurdt de tunnel as oan naam, en it folgjende oere giet nei it debuggen fan rûtes foar in assosjaasje dy't nea boud is.
De tsjinoerstelde flater komt like faak foar. In ûntbrekkend profyl stjoert minsken op syk nei in netwurkflater wylst de konfiguraasje nea laden is. Neam it objekt en fier dan it kommando út dat it waarnimt.
Trije objekten, trije waarnimmingen
strongSwan hâldt in laden definysje, in IKE-SA en in CHILD-SA by. De earste is konfiguraasje, de twadde in autentisearre kontrôleferhâlding, en de tredde ûnderhannele beskerming foar selektearre ferkear. Se hawwe sels aparte nammen, dus in profyl mei de namme hq kin in child mei de namme hq-lan hawwe.
De tabel keppelt elke laach oan it kommando dat him toant. Lês de rige foardat jo de log lêze.
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
It opfreegjen fan it child bout earst syn âlder-IKE-SA as dy der net is. Allinnich de IKE-SA opfreegje is in oare oprop. In kontrôlekanaal dat kreas autentisearret, garandearret net it child dat jo opfrege hawwe.
Dat ferskil jildt by in dielútfal. In IKE-SA kin sûn wêze wylst it child mist op in selektorferskil of in foarstel dat de peer net akseptearret. De beide objekten misse om ferskillende redenen, dêrom fertsjinje se aparte waarnimmingen.
Kies de startaksje bewust
Yn swanctl.conf bepaalt de start_action fan in child it gedrach nei it laden. De standert none lit de definysje oan manuele inisjaasje of responder-gebrûk. start skillet it, wylst trap in belied efterlit dat ûnderhannelt sa gau as passend ferkear opkomt.
Dus 'laden start nea in tunnel' en 'laden start altyd ien' binne beide ferkeard. De aksje is part fan it profyl, en hy moat by de rol fan de peer passe. Twa gateways dy't beide op de oare kant wachtsje, produsearje stilte, gjin tunnel.
Mei trap moat it ferkear by de selekteurs passe, dus in net besibbe ping wekket neat. Mei start moat it peeradres brûkber wêze en beide kanten moatte it iens wêze oer autentikaasje en foarstellen. Gjin fan beide aksjes ferfangt it kontrolearjen fan dy betingsten.
Herstel is in apart belied
Opstarten is gjin keepalive. Detektearjen fan deade peers, eksplisyt sluten troch de peer, opnij kaaiens en in proseswerstart binne ferskillende barren yn de libbenssyklus mei eigen ynstellings. Konfigurearje elk bewust yn plak fan te ferwachtsjen dat in earste start se allegear dekt.
In tunnel dy't by it opstarten omheech komt en in oere letter deaget, is in herstelfraach. It startbelied die syn wurk en dêrnei die it der net mear ta. Sjoch nei DPD- en opnij-kaai-ynstellings foardat jo de earste ûnderhanneling de skuld jouwe.
Laden definysjes ferfange is in eigen operaasje. Net-standert startbelied hat dokumintearre tsjinoaksjes, en in reload is in operasjonele feroaring ynstee fan de oanname dat elke assosjaasje op syn plak bywurke is. Doch reloads yn fazen wêr't in werferbining akseptabel is. Hâld de âlde konfiguraasje oant de nije bewiisd is.
Kontrolearje wat bestiet foardat jo routing debugge
Fier de trije waarnimmingen yn folchoarder út: laden definysjes, aktive IKE-SA's en child-ynskriuwingen. Elk antwurd ferlytst de folgjende fraach. Sla in stap oer en jo debugge úteinlik in laach dy't nea boud is.
Begjin mei wat laden is en wat echt ta stân brocht is:
swanctl --list-conns
swanctl --list-sasAs it child ûntbrekt wylst it profyl korrekt is, inisjearje it dan by namme en sjoch wat der bart. De útfier seit meastentiids oft de âlder earst omheech kaam.
swanctl --initiate --child hq-lanIn aktive CHILD-SA is net de finish. Trochstjoerregels, rûtes en de eigen autorisaasje fan de applikaasje moatte noch altyd kloppe. De libbenssyklus antwurdet wat ûnderhannele is; hy kin net beslisse wa't de tsjinst brûke mei.