લોડ કરેલ strongSwan પ્રોફાઇલ સક્રિય ટનલ નથી
strongSwan વ્યાખ્યાઓ લોડ કરે છે અને પછી IKE અને CHILD SA પર વાટાઘાટ કરે છે. પ્રોફાઇલ લોડ હોવું એ કહેતું નથી કે ટનલ અસ્તિત્વમાં છે કે તેને કોણ શરૂ કરે છે.
strongSwan રૂપરેખાંકનમાં જોડાણની સૂચિ બનાવવી ફક્ત એ સાબિત કરે છે કે વ્યાખ્યા લોડ થઈ છે. તેનો અર્થ એ નથી કે સાથીનો સંપર્ક કરવામાં આવ્યો, IKE SA અસ્તિત્વમાં છે અથવા કોઈ ટ્રાફિક સુરક્ષિત છે. ડિમન વ્યાખ્યાઓ અને જીવંત સંગઠનોને અલગ વસ્તુઓ તરીકે ગણે છે, અને તેમની વચ્ચેનું અંતર જાણી જોઈને લેવાયેલ નિર્ણય છે. કઈ વસ્તુ તપાસી રહ્યા છો તે જાણવું અસ્પષ્ટ ખામીને આગલા ચોક્કસ આદેશમાં ફેરવે છે.
લોડ કરવું એ જોડાવું નથી
લોડ કરેલ જોડાણ એ વાતનું કથન છે કે આગળ શું વાટાઘાટ થઈ શકે: સાથીના સરનામાં, ઓળખપત્રો, દરખાસ્તો અને ટ્રાફિક પસંદકર્તા. આ કથનમાં કંઈપણ ડિમને કોઈને ફોન કર્યો હોવાની માંગ કરતું નથી. ગેટવે બીજી બાજુની રાહ જોઈ શકે, શરૂઆતમાં પોતે પહેલ કરી શકે અથવા યોગ્ય ટ્રાફિક જાગે તેની રાહ જોઈ શકે. ત્રણેય માન્ય છે, અને ત્રણેય રૂપરેખાંકન ફાઇલમાં શરૂઆતની નીતિ વાંચે ત્યાં સુધી એકસરખા દેખાય છે.
ઓપરેટરો વ્યાખ્યાઓની સૂચિને સ્થિતિની સૂચિ ગણીને વાંચવાથી મુશ્કેલીમાં મુકાય છે. પ્રોફાઇલ છે, તેથી ટનલ સક્રિય માનવામાં આવે છે, અને આગલો કલાક ક્યારેય ન બનેલા સંગઠનના રૂટ ડિબગ કરવામાં જાય છે.
ઊલટી ભૂલ પણ એટલી જ સામાન્ય છે. ગુમ થયેલ પ્રોફાઇલ લોકોને નેટવર્ક ખામી શોધવા મોકલે છે જ્યારે રૂપરેખાંકન ક્યારેય લોડ થયું જ નહોતું. વસ્તુને નામ આપો અને પછી તેનું અવલોકન કરતો આદેશ ચલાવો.
ત્રણ વસ્તુઓ, ત્રણ અવલોકનો
strongSwan લોડ કરેલ વ્યાખ્યા, IKE SA અને CHILD SA રાખે છે. પ્રથમ રૂપરેખાંકન છે, બીજું પ્રમાણિત નિયંત્રણ સંબંધ છે અને ત્રીજું પસંદ કરેલ ટ્રાફિક માટે વાટાઘાટ કરેલ સુરક્ષા છે. તેમના અલગ નામ પણ છે, તેથી hq નામનું પ્રોફાઇલ hq-lan નામનું child ધરાવી શકે છે.
કોષ્ટક દરેક સ્તરને તે દર્શાવતા આદેશ સાથે જોડે છે. લોગ વાંચતાં પહેલાં પંક્તિ વાંચો.
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
child માંગવું પ્રથમ તેની મૂળ IKE SA બનાવે છે જ્યારે કોઈ ન હોય. ફક્ત IKE SA માંગવું એ બીજો કૉલ છે. યોગ્ય રીતે પ્રમાણિત થતો નિયંત્રણ ચેનલ માંગેલ childની બાહેંધરી આપતું નથી.
આ તફાવત આંશિક ખામી દરમિયાન મહત્વનો છે. IKE SA સ્વસ્થ હોઈ શકે છે જ્યારે child પસંદકર્તાની અસંગતિ અથવા સાથી સ્વીકારે નહીં તેવી દરખાસ્તને કારણે નિષ્ફળ જાય છે. બંને વસ્તુઓ જુદા જુદા કારણોસર નિષ્ફળ જાય છે, તેથી તે અલગ અવલોકનોને લાયક છે.
શરૂઆતની ક્રિયા જાણી જોઈને પસંદ કરો
swanctl.conf માં childનું start_action લોડ થયા પછીના વર્તન નક્કી કરે છે. ડિફોલ્ટ none વ્યાખ્યાને જાતે શરૂ કરવા અથવા responder તરીકે વાપરવા માટે છોડે છે. start તેને ડાયલ કરે છે, જ્યારે trap એવી નીતિ છોડે છે જે યોગ્ય ટ્રાફિક દેખાતાં જ વાટાઘાટ કરે છે.
તેથી «લોડ કરવું ક્યારેય ટનલ શરૂ કરતું નથી» અને «લોડ કરવું હંમેશા એક શરૂ કરે છે» બંને ખોટા છે. ક્રિયા પ્રોફાઇલનો ભાગ છે અને તે સાથીની ભૂમિકા સાથે મેળ ખાવો જોઈએ. બંને ગેટવે બીજી બાજુની રાહ જોતા હોય તો શાંતિ ઊભી થાય છે, ટનલ નહીં.
trap સાથે ટ્રાફિક પસંદકર્તાઓ સાથે મેળ ખાવો જોઈએ, તેથી અસંબંધિત ping કંઈ જગાડતું નથી. start સાથે સાથીનું સરનામું વપરાયોગ્ય હોવું જોઈએ અને બંને પક્ષે પ્રમાણીકરણ અને દરખાસ્તો પર સંમત થવું જોઈએ. બંનેમાંથી કોઈ ક્રિયા આ શરતોની ચકાસણીનો વિકલ્પ નથી.
પુનઃપ્રાપ્તિ અલગ નીતિ છે
શરૂઆત keepalive નથી. મૃત સાથીની શોધ, સાથી દ્વારા સ્પષ્ટ બંધ, કી નવીકરણ અને પ્રક્રિયાની પુનઃશરૂઆત જીવનચક્રની જુદી ઘટનાઓ છે જેમની પોતાની સેટિંગ્સ છે. દરેકને જાણી જોઈને ગોઠવો, પ્રારંભિક શરૂઆત બધું આવરી લેશે એવી અપેક્ષા રાખવાને બદલે.
બૂટ પર ઊઠે અને એક કલાક પછી મરી જાય તેવી ટનલ પુનઃપ્રાપ્તિનો પ્રશ્ન છે. શરૂઆતની નીતિએ પોતાનું કામ કર્યું અને પછી મહત્વની રહી નહીં. પ્રારંભિક વાટાઘાટને દોષ આપતાં પહેલાં DPD અને કી નવીકરણની સેટિંગ્સ જુઓ.
લોડ કરેલ વ્યાખ્યાઓ બદલવી એ અલગ ક્રિયા છે. બિન-ડિફોલ્ટ શરૂઆતની નીતિઓમાં દસ્તાવેજીકૃત ઊલટી ક્રિયાઓ હોય છે, અને ફરીથી લોડ કરવું એ કાર્યાત્મક ફેરફાર છે, દરેક સંગઠન જ્યાં હતું ત્યાં જ અદ્યતન થયું એવી ધારણા નહીં. ફરીથી લોડ તબક્કાવાર કરો, જ્યાં ફરી જોડાવું સ્વીકાર્ય હોય. નવું સાબિત ન થાય ત્યાં સુધી જૂનું રૂપરેખાંકન રાખો.
રૂટિંગ ડિબગ કરતાં પહેલાં શું અસ્તિત્વમાં છે તે તપાસો
ત્રણેય અવલોકનો ક્રમમાં કરો: લોડ કરેલ વ્યાખ્યાઓ, સક્રિય IKE SA અને child એન્ટ્રીઓ. દરેક જવાબ આગળનો પ્રશ્ન સાંકડો કરે છે. એક પગલું છોડો અને અંતે ક્યારેય ન બનેલા સ્તરને ડિબગ કરશો.
જે લોડ છે અને જે ખરેખર સ્થાપિત છે તેનાથી શરૂ કરો:
swanctl --list-conns
swanctl --list-sasપ્રોફાઇલ સાચું હોવા છતાં child ગુમ હોય તો, તેને નામથી શરૂ કરો અને શું થાય તે જુઓ. આઉટપુટ સામાન્ય રીતે કહે છે કે મૂળ પહેલું ઊઠ્યું કે નહીં.
swanctl --initiate --child hq-lanસક્રિય CHILD SA અંતિમ રેખા નથી. ફોરવર્ડિંગ નિયમો, રૂટ અને એપ્લિકેશનની પોતાની અધિકૃતિ હજી મેળ ખાવી જોઈએ. જીવનચક્ર કહે છે કે શું વાટાઘાટ થઈ; તે નક્કી કરી શકતું નથી કે કોણ સેવા વાપરી શકે છે.