strongSwan fós síos tar éis atosaigh peer: déan aon tollán a aisghabháil

Atosaíonn an geata cianda, tagann sé ar ais laistigh de nóiméad, agus leanann an daemon strongSwan áitiúil ag rith agus an tollán fós síos. Clúdóidh tasc cron a dhéanann grep ar ESTABLISHED agus a atosaíonn an daemon é sin ar deireadh, agus cuirfidh sé isteach ar gach tollán neamhghaolmhar ar an meaisín freisin agus b'fhéidir go gcaillfidh sé an ceann a theip. Baineann an t-aisghabháil leis an nasc a chaithfidh filleadh, curtha in iúl i socruithe a mhaireann trí athlódáil. Socraíonn an runbook seo é sin do aon nasc amháin agus cruthaíonn sé an toradh de réir ainm.

Fág an t-atosach domhanda, coinnigh a fhianaise

Tá dhá locht shonracha ag atosach an daemon: scriosann sé staid gach naisc, agus ní insíonn sé aon rud duit faoi cén teagmhas a theip i ndáiríre. B'fhéidir gur tháinig an téacs staid a rinne tú grep air ó nasc eile, agus an child riachtanach ina luí díomhaoin toisc nár spreag aon rud é.

Léigh na naisc lódáilte agus na comhlachais ghníomhacha sula n-athraíonn tú aon rud, ionas go mbeidh pictiúr roimhe agat le comparáid a dhéanamh leis nuair a fhilleann an peer.

swanctl --list-conns
swanctl --list-sas

Cuir tionscnamh agus athiarrachtaí ar an nasc atá ag filleadh

I n-imscaradh swanctl.conf maireann na socruithe seo ar leibhéal naisc agus child seachas i mbeartas domhanda. Is sampla ó thaobh an tionscnóra é an mhír thíos a ghlacann leis go bhfuil tograí, fíordheimhniú agus roghnóirí ceart cheana féin.

connections {
    branch {
        keyingtries = 0
        dpd_delay = 30s
        children {
            private-lan {
                start_action = trap|start
                dpd_action = restart
            }
        }
    }
}

Cinneann start_action cad a tharlaíonn nuair a lódáiltear an child: tosaíonn start láithreach, agus suiteálann trap beartas a spreagann tionscnamh nuair a thagann trácht comhoiriúnach chun cinn. Teastaíonn strongSwan 5.9.6 nó níos nuaí chun trap|start a scríobh, mar sin seiceáil an leagan sula gcóipeáil tú an líne. Iarrann dpd_action=restart idirbheartaíocht nua nuair a dhearbhaítear go bhfuil an peer marbh, agus ceadaíonn keyingtries=0 ar leibhéal naisc tuilleadh iarrachtaí go dtí rath nó earráid bhuan. Faoi IKEv2 níl aon éifeacht ar bith ag dpd_timeout, toisc gurb é an t-athsheoladh rialta a chinneann cathain nach bhfreagraíonn an peer.

Is pointe tosaigh é an mhoill sa sampla sin seachas spriocdháta uilíoch. Roghnaigh é bunaithe ar cé chomh fada a thógann atosach an peer agus cé mhéad athsheoladh atá tú sásta a fhulaingt.

Bíodh a fhios agat ó cén teagmhas atá tú ag aisghabháil

Breathnaíonn trí chliseadh mar an gcéanna ar dheais agus teastaíonn socruithe difriúla uathu. Is fadhb chumraíochta nó inrochtaineachta é nasc tosaigh nár éirigh riamh. Is é an cás DPD peer a stop den fhreagairt. Is teagmhas beartais é child a dhún an peer go sainráite, lena close_action féin, nach ngrinnfhéachann DPD riamh air. Insíonn léamh an loga timpeall ar an gcaillteanas duit cé acu de na trí atá agat, agus athraíonn an freagra an deisiú.

Ná cuir ath-thionscnamh ionsaitheach le nasc a dhúnann oibreoirí d'aon turas le haghaidh cothabhála, nó fillfidh an tollán i lár na fuinneoige. I gcás dearaí ar éileamh is leor trap a choinnítear, toisc go n-athbhunaíonn trácht comhoiriúnach an child gan aon lasc ama.

Fíoraigh de réir ainm, ní de réir staid an daemon

Léigh an nasc agus a child de réir ainm agus an peer fós síos, agus ansin arís nuair a fhilleann sé; is í an difríocht idir an dá aschur sin an fhianaise.

swanctl --initiate --child private-lan
swanctl --terminate --ike branch

Ansin deimhnigh an tseirbhís seachas an comhlachas. Is é comhlachas slándála child úr móide iarratas rathúil chuig an gceann scríbe príobháideach taobh thiar de an péire fíricí a bhfuil tábhacht leo, agus ní chruthaíonn daemon atá ag rith le tollán sláintiúil neamhghaolmhar ceachtar acu.

Mura dtosaíonn an child riamh, seiceáil go bhfuil an trácht tástála ag teacht go beacht leis na roghnóirí cumraithe, lena n-áirítear prótacal agus port. Má thosaíonn sé agus má theipeann air, léigh an earráid fhíordheimhnithe nó togra in ionad í a cheilt taobh thiar de lúb gan deireadh, toisc go ndéanfaidh keyingtries=0 diúltú buan a athrá go deo.

Lódáil an t-athrú i bhfuinneog agus aththástáil

Tá athlódáil níos sábháilte ná atosach an daemon, agus fós níl sé saor in aisce: féadann athchur nó díolódáil child comhlachas tosaithe a dhúnadh nó a trap a ligean chun siúil.

Lódáil le linn fuinneog cothabhála, coinnigh an comhad roimhe seo agus deimhnigh go dtagann an nasc chun cinn leis na socruithe a bhí beartaithe agat seachas le réamhshocruithe.

swanctl --load-conns
swanctl --list-conns

Fill siar trí an comhad roimhe seo a chur ar ais agus a lódáil arís, ansin déan na dhá ordú chéanna a athrá. Níl tollán nach bhfilleann ach tar éis atosach an daemon deisithe, tá sé athshocraithe.