strongSwan bliuwt del nei in peer-herstart: ien tunnel weromkrije

Lit de daemon-herstart farre. Set start en DPD op de ferbining dy't werom moat, ferifiearje dan by namme en bewiis de tsjinst, net de daemon.

De fiere gateway start opnij, komt binnen in minút werom, en de lokale strongSwan-daemon bliuwt draaien wylst de tunnel noch del is. In cron-taak dy't grepket op ESTABLISHED en de daemon opnij start, sil dat op 't lêst tichtsje, en se sil ek elke net-relatearre tunnel op 'e masine ôfbrekke wylst se miskien dy mist dy't mislearre. Werstel heart by de ferbining dy't werom moat, útdrukt yn ynstellings dy't in reload oerlibje. Dizze runbook set dat op foar ien ferbining en bewiist it resultaat by namme.

Lit de globale herstart farre, hâld syn bewiis

In daemon-herstart hat twa konkrete mankeminten: it ferneatiget de steat fan elke ferbining, en it fertelt jo neat oer hokker barren oft eins mislearre. De statustekst dy't jo grepken hawwe, kin fan in oare ferbining komme, wylst it nedige child idle siet om't neat it aktivearre.

Lês de laden ferbiningen en de aktive assosjaasjes foardat jo wat feroarje, sadat jo in foar-byld hawwe om mei te fergelykjen nei't de peer weromkomt.

swanctl --list-conns
swanctl --list-sas

Set start en werpogingen op 'e weromkommende ferbining

Yn in swanctl.conf-ynset libje dizze ynstellings op ferbining- en child-nivo ynstee fan yn in globaal belied. It fragmint hjirûnder is in foarbyld fan 'e starter-kant dat oannimt dat foarstellen, autentikaasje en selektors al goed binne.

connections {
    branch {
        keyingtries = 0
        dpd_delay = 30s
        children {
            private-lan {
                start_action = trap|start
                dpd_action = restart
            }
        }
    }
}

start_action beslist wat der bart as it child laden wurdt: start begjint daliks, wylst trap in belied ynstallearret dat de start ôfstekt as passend ferkear ferskynt. trap|start skriuwe freget strongSwan 5.9.6 of letter, dus kontrolearje de ferzje foardat jo de rigel kopiearje. dpd_action=restart freget nije ûnderhanneling sadree't de peer dea ferklearre is, en keyingtries=0 op ferbiningnivo lit fierdere pogingen ta oant súkses of in permaninte flater. Under IKEv2 hat dpd_timeout hielendal gjin effekt, om't gewoane weromsending beslút wannear't de peer net antwurdet.

De fertraging yn dat foarbyld is in begjinpunt, net in universele deadline. Kies it op grûn fan hoe lang't de herstart fan de peer duorret en hoefolle weromsending jo bereid binne te fernearen.

Wit fan hokker barren jo werstelle

Trije flaters lykje identyk op in dashboard en freegje ferskate ynstellings. In begjinferbining dy't nea omheech kaam, is in konfiguraasje- of berikberensprobleem. In peer dy't ophold mei antwurdzjen is it DPD-gefal. In child dat de peer eksplisyt slette, is in beliedsbarren mei syn eigen close_action, dat DPD nea waarnimt. It lêzen fan it log rûn de ûnderbrekking fertelt jo hokker fan de trije jo hawwe, en it antwurd feroaret de oplossing.

Foegje gjin agressive werynisjearring ta oan in ferbining dy't operators bewust foar ûnderhâld slute, oars ferskynt de tunnel midden yn it finster wer. Foar ûntwerpen op oanfraach is in behâlden trap genôch, om't passend ferkear it child sûnder timer wer opbouwt.

Ferifiearje by namme, net by daemonstatus

Lês de ferbining en har child by namme wylst de peer noch del is, en dan wer as er weromkomt; it ferskil tusken dy twa útfier is it bewiis.

swanctl --initiate --child private-lan
swanctl --terminate --ike branch

Befêstigje dan de tsjinst ynstee fan 'e assosjaasje. In farske child-feiligensassosjaasje plus in súksesfol fersyk nei de privee-beneaming dêrefter is it pear feiten dat telt, en in draaiende daemon mei in sûne net-relatearre tunnel bewiist gjin fan beide.

As it child nea start, kontrolearje dan oft it testferkear krekt oerienkomt mei de konfigurearre selektors, ynklusyf protokoll en poarte. As it start en mislearret, lês dan de autentikaasje- of foarstelflater ynstee fan it efter in einleaze lus te ferbergjen, om't keyingtries=0 in permaninte ôfwizing foar ivich werhelje sil.

Laad de feroaring yn in finster en test opnij

Reload is feiliger as de daemon opnij starte, en it is dochs net fergees: it ferfangen of ûntladen fan in child kin in begûnen assosjaasje slute of syn trap falle litte.

Laad yn in ûnderhâldsfinster, hâld it foarige bestân en befêstigje dat de ferbining ferskint mei de ynstellings dy't jo bedoelden en net mei standertwearden.

swanctl --load-conns
swanctl --list-conns

Rôl werom troch it foarige bestân te werstellen en opnij te laden, en werhelje dan deselde twa kommando's. In tunnel dy't allinne nei in daemon-herstart weromkomt, is net reparearre, mar weromset.

Relatearre artikelen