Un arriba, cero conectando: que conta esa liña de strongSwan

Lea unha liña de estado que di Security Associations (1 up, 0 connecting) e parece un informe dun túnel que funciona. Dúas subredes pasan tráfico por el ao mesmo tempo, así que o número parece mentir. Non mente; conta asociacións IKE, e unha delas pode albergar varias fillas. Lea os inventarios antes de tocar unha proposta ou unha ruta.

Por que o titular e o tráfico non coinciden

A saída antiga de stroke chama ao seu total asociacións de seguridade e derívao do xestor de asociacións IKE. Cada asociación IKE establecida achega unha, sen importar cantas CHILD SA haxa debaixo. Un só pai IKEv2 adoita levar varias fillas, unha por par de selectores de tráfico, e os selectores negociados dunha filla poden cubrir máis dun enderezo ou prefixo. Por tanto, o número de enderezos da súa configuración non garda unha relación fixa co número do titular.

A saída moderna ás veces mostra un total en lugar da antiga formulación “up”, e un demo xestionado por swanctl non se rexe en absoluto polos axustes antigos de stroke. Non dea por sentado nin a formulación nin a regra de reconto entre versións.

Compare tres inventarios antes de cambiar nada

Comece polo que está cargado, despois polo que está negociado, despois polo que realmente move paquetes. Son tres preguntas distintas e cada unha ten o seu propio comando.

swanctl --list-conns
swanctl --list-sas

A primeira lista as definicións de conexión que o demo aceptou. A segunda lista as asociacións IKE establecidas coas súas fillas, e é aí onde aparece a xerarquía real. Unha definición presente nun ficheiro pero ausente da primeira lista nunca se cargou, e ningunha cantidade de reintentos do iniciador o arranxará. Se en cambio executa a interface antiga, a parella equivalente é ipsec statusall e a mesma lista de swanctl, segundo que complemento posúa a configuración. Non mesture ferramentas entre dous demos nun mesmo host e espere unha única resposta coherente.

swanctl --list-sas --raw | head -40
ip -s xfrm state

A forma sen procesar mantén visibles os identificadores e os selectores para comparar, e a lista de estado do núcleo mostra que cre a pila que instalou. Cando o demo e o núcleo non coinciden, ou o demo reiniciouse arredor dunha filla existente, ou o obxecto do núcleo eliminouse por debaixo.

Lea a xerarquía, non o total

Un pai establecido ilustrativo con dúas fillas parece un só nodo con dúas fillas debaixo, cada unha etiquetada co seu propio estado e modo. Baleire a saída real e conte as fillas vostede mesmo en lugar de ler un resumo que alguén pegou dun panel.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Un pai con dúas fillas instaladas é un túnel san de dúas subredes. Un pai cunha filla instalada e outra ausente é outra situación, e os selectores da filla que falta son o que hai que comparar coa proposta do lado remoto. Durante a renovación de claves, unha filla antiga e o seu substituto poden aparecer xuntas durante unha ventá curta. Garde a marca de tempo coa instantánea, porque un reconto tomado a metade da renovación parece duplicación e un tomado despois parece perda.

Cargado, instalado e tráfico que pasa

Unha filla en estado instalado ten parámetros negociados e unha entrada no núcleo. Pero non necesariamente transportou un paquete: os selectores poden ser máis estreitos que o tráfico que espera, e unha ruta pode enviar ese tráfico a outro sitio antes de que o túnel o vexa. Envíe un fluxo que coincida cos selectores negociados desde un host autorizado, e despois lea os contadores da filla en lugar do titular. Un contador que queda en cero mentres xera tráfico coincidente apunta ao encamiñamento ou á política, non a IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Iniciar unha filla con nome é unha acción deliberada cun resultado visible, e separa “a conexión está inactiva porque ninguén a pediu” de “a conexión non pode levantarse”. Unha política de trampa a demanda compórtase exactamente como o primeiro caso, así que lea o axuste de inicio da conexión antes de chamalo fallo.

Cando o reconto é realmente erróneo

Se falta unha definición no inventario cargado, mire a carga da configuración e que instancia do demo se executa. Se está cargada pero nunca negocia, compare propostas, contexto de autenticación e selectores co par, unha filla á vez. Cambie un elemento por intento e anote o identificador que cambiou. Reverter unha proposta é trivial cando sabe cal é; é adiviñar tras tres edicións que nunca se separaron.

Corrixa primeiro a lectura equivocada. A maioría dos informes dun segundo túnel “que falta” acaban con dúas fillas instaladas baixo un só pai, e o único que algunha vez estivo roto era a liña de resumo na que a xente confiaba en lugar da xerarquía.