Ien omheech, nul ferbûn: wat dy strongSwan-regel telt

Lês in statusrigel dy’t Security Associations (1 up, 0 connecting) seit, en it liket in rapport oer ien wurkjende tunnel. Twa subnetten stjoere tagelyk ferkear der trochhinne, dus it getal liket te ligen. It leit net; it telt IKE-ferienings, en ien dêrfan kin ferskate bern hûsje. Lês de ynventarissen foardat jo in foarstel of in rûte oanreitsje.

Wêrom't de kop en it ferkear net oerienkomme

De âlde stroke-útfier neamt syn totaal feiligensferienings en liedt it ôf fan de IKE-ferieningsbehearder. Elke fêstige IKE-feriening draacht ien by, nettsjinsteande hoefolle CHILD SA’s derûnder sitte. Ien inkel IKEv2-âlder draacht gewoanlik ferskate bern, ien per pear ferkearsselekteurs, en de ûnderhannele selekteurs fan in bern kinne mear as ien adres of foarheaksel dekke. It tal adressen yn jo konfiguraasje hat dêrom gjin fêste ferhâlding ta it getal yn de kop.

Moderne útfier lit soms in totaal sjen ynstee fan de âlde wurden “up”, en in swanctl-beheard daemon wurdt hielendal net troch âlde stroke-ynstellings dreaun. Nim noch de wurden noch de telregel oer ferzjes hinne as fêst oan.

Fergelykje trije ynventarissen foardat jo wat feroarje

Begjin mei wat laden is, dan wat ûnderhannele is, dan wat echt pakketten ferpleatst. Dat binne trije ferskillende fragen en elk hat syn eigen opdracht.

swanctl --list-conns
swanctl --list-sas

De earste list ferbiningsdefinysjes op dy’t de daemon akseptearre hat. De twadde list fêstige IKE-ferienings mei har bern op, en dêr ferskynt de echte hiërargy. In definysje dy’t yn in bestân stiet mar yn de earste list mist, waard nea laden, en gjin hoemannichte werpogingen fan de inisjator sil dat reparearje. As jo ynstee de âlde ynterface brûke, is it ekwivalinte pear ipsec statusall en deselde swanctl-list, ôfhinklik fan hokker plugin de konfiguraasje besit. Ming gjin ark tusken twa daemons op ien host en ferwachtsje ien gearhingjend antwurd.

swanctl --list-sas --raw | head -40
ip -s xfrm state

De rûge foarm hâldt identifisearders en selekteurs sichtber foar ferliking, en de kernel-tastânlist lit sjen wat de stapel tinkt dat er ynstallearre hat. As de daemon en de kernel ferskille, is de daemon om in besteand bern hinne opnij start of is it kernel-objekt derûnder fuorthelle.

Lês de hiërargy, net it totaal

In yllustrative fêstige âlder mei twa bern liket op ien knooppunt mei twa bern derûnder, elk markearre mei syn eigen tastân en modus. Dump de echte útfier en tel de bern sels ynstee fan in gearfetting te lêzen dy’t immen fan in dashboard plakt hat.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Ien âlder mei twa ynstallearre bern is in sûne tunnel foar twa subnetten. Ien âlder mei ien ynstallearre en ien ôfwêzich bern is in oare situaasje, en de selekteurs fan it ûntbrekkende bern binne wat te ferliken is mei it foarstel fan de fiere kant. By kaaifernijing kinne in âld bern en syn ferfanging koart byinoar ferskine. Hâld de tiidstimpel by de momentopname, want in telling midden yn de fernijing liket op dûbeling en in telling dernei liket op ferlies.

Laden, ynstallearre en ferkear dat trochgiet

In bern yn de ynstallearre tastân hat ûnderhannele parameters en in kernel-ynskriuwing. Mar it hat net needsaaklik in pakket droegen: selekteurs kinne smeller wêze as it ferkear dat jo ferwachtsje, en in rûte kin dat ferkear earne oars hinne stjoere foardat de tunnel it ea sjocht. Stjoer in stream dy’t by de ûnderhannele selekteurs past fan in autorisearre host, en lês dan de tellers fan it bern ynstee fan de kop. In teller dy’t op nul bliuwt wylst jo passend ferkear generearje, wiist op routing of belied, net op IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

In neamd bern starte is in bewuste hanneling mei in sichtber resultaat, en it skiedt “de ferbining is ledich om’t nimmen it frege hat” fan “de ferbining kin net omheech komme”. In trapbelied op oanfraach hâldt him krekt as it earste gefal, dus lês de startynstelling fan de ferbining foardat jo it in fout neame.

Wannear't de telling echt ferkeard is

As in definysje yn it laden ynventaris mist, sjoch dan nei it laden fan de konfiguraasje en hokker daemon-eksimplaar rint. As it laden is mar nea ûnderhannelt, ferlykje foarstellen, autentikaasjekontekst en selekteurs mei de partner, ien bern tagelyk. Feroarje ien elemint per poging en skriuw de identifisearder op dy’t jo feroare hawwe. In foarstel weromdraaie is triviaal as jo witte hokker; it is rieden nei trije wizigings dy’t nea skieden waarden.

Reparearje earst de ferkearde lêzing. De measte rapporten oer in “ûntbrekkende” twadde tunnel einigje mei twa ynstallearre bern ûnder ien âlder, en it iennige dat ea stikken wie, wie de gearfettingsrigel dy’t minsken fertrouden ynstee fan de hiërargy.