strongSwan ya tsaya a ƙasa bayan an sake kunna peer: maido da tunel ɗaya

Gateway na nesa yana sake kunnawa, yana dawowa cikin minti ɗaya, kuma daemon ɗin strongSwan na gida yana ci gaba da aiki yayin da tunel ɗin har yanzu yana ƙasa. Aikin cron da ke neman ESTABLISHED kuma ya sake kunna daemon zai rufe wannan daga ƙarshe, kuma zai katse kowane tunel mara alaƙa a na'urar yayin da wataƙila ya rasa wanda ya gaza. Maido da aiki na haɗin da dole ya dawo ne, wanda aka bayyana a cikin saitunan da ke jure reload. Wannan runbook yana shirya hakan don haɗi ɗaya kuma yana tabbatar da sakamakon da suna.

Ka bar sake kunna na gaba ɗaya, ka riƙe shaidarsa

Sake kunna daemon ɗin yana ɗauke da takamaiman kurakurai biyu: yana lalata yanayin kowane haɗi, kuma ba ya gaya maka wace lamari ya gaza a zahiri. Rubutun yanayin da ka nema yana iya fitowa daga wata haɗi, yayin da child ɗin da ake buƙata ya zauna ba aiki saboda babu abin da ya kunna shi.

Ka karanta haɗin da aka loda da kuma alaƙar da ke aiki kafin ka canza wani abu, domin ka sami hoton da ya gabata don kwatantawa bayan peer ɗin ya dawo.

swanctl --list-conns
swanctl --list-sas

Ka sa farawa da sake gwadawa a kan haɗin da ke dawowa

A cikin tsarin swanctl.conf waɗannan saitunan suna a matakin haɗi da child maimakon a manufa ta gaba ɗaya. Sassan da ke ƙasa misali ne daga ɓangaren mai farawa wanda ke ɗaukan cewa shawarwari, tabbatarwa da masu zaɓi sun riga sun yi daidai.

connections {
    branch {
        keyingtries = 0
        dpd_delay = 30s
        children {
            private-lan {
                start_action = trap|start
                dpd_action = restart
            }
        }
    }
}

start_action yana yanke shawarar abin da ke faruwa lokacin da aka loda child ɗin: start yana farawa nan da nan, yayin da trap ke sanya manufar da ke kunna farawa idan an sami zirga-zirgar da ta dace. Rubuta trap|start yana buƙatar strongSwan 5.9.6 ko sabo, don haka duba sigar kafin ka kwafe layin. dpd_action=restart yana neman sabon tattaunawa da zarar an ayyana peer ɗin ya mutu, kuma keyingtries=0 a matakin haɗi yana ba da damar ƙarin ƙoƙari har zuwa nasara ko kuskuren dindindin. A ƙarƙashin IKEv2 dpd_timeout ba shi da wani tasiri kwata-kwata, domin sake aikawa na yau da kullum ne ke yanke shawarar lokacin da peer ɗin bai amsa ba.

Jinkirin da ke cikin wannan misalin wurin farawa ne ba ƙayyadadden lokaci na gama gari ba. Ka zaɓe shi bisa tsawon lokacin da sake kunna peer ɗin ke ɗauka da yawan sake aikawa da ka yarda ka jure.

Ka san daga wace lamari kake maidowa

Kurakurai uku suna kama da juna a kan dashboard kuma suna buƙatar saituna daban-daban. Haɗin farko da bai taɓa tashi ba matsala ce ta tsari ko isa. Peer da ya daina amsawa shi ne yanayin DPD. Child da peer ɗin ya rufe a fili lamari ne na manufa da nasa close_action, wanda DPD ba ya taɓa gani. Karanta log ɗin kewayen katsewar yana gaya maka wanne daga cikin ukun kake da shi, kuma amsar tana canza gyaran.

Kada ka ƙara sake farawa mai tsanani ga haɗin da ma'aikata ke rufewa da gangan don kulawa, in ba haka ba tunel ɗin zai sake bayyana a tsakiyar taga. Ga tsare-tsaren da ake buƙata a lokacin buƙata, trap da aka riƙe ya isa, domin zirga-zirgar da ta dace tana sake kafa child ɗin ba tare da kowane lokaci ba.

Ka tabbatar da suna, ba da matsayin daemon ba

Ka karanta haɗin da child ɗinsa da suna yayin da peer ɗin har yanzu yana ƙasa, sannan kuma da zarar ya dawo; bambancin da ke tsakanin waɗannan fitarwa biyu shi ne shaidar.

swanctl --initiate --child private-lan
swanctl --terminate --ike branch

Sannan ka tabbatar da sabis ɗin maimakon alaƙar. Sabuwar alaƙar tsaro ta child tare da buƙatu mai nasara zuwa ga keɓaɓɓen makoma da ke bayanta su ne abubuwa biyu masu muhimmanci, kuma daemon da ke aiki tare da lafiyayyen tunel mara alaƙa ba ya tabbatar da ko ɗaya.

Idan child ɗin bai taɓa farawa ba, duba ko zirga-zirgar gwajin ta yi daidai da masu zaɓi da aka tsara, har da yarjejeniya da tashar. Idan ya fara kuma ya gaza, ka karanta kuskuren tabbatarwa ko shawara maimakon ɓoye shi a bayan madauki marar ƙarshe, domin keyingtries=0 zai maimaita ƙin dindindin har abada.

Ka loda canjin a cikin taga kuma ka sake gwadawa

Reload ya fi sake kunna daemon aminci, kuma har yanzu ba kyauta ba: maye gurbin ko cire child na iya rufe alaƙar da aka fara ko ya jefar da trap ɗinsa.

Ka loda a lokacin tagar kulawa, ka riƙe fayil ɗin da ya gabata, kuma ka tabbatar haɗin ya bayyana da saitunan da ka yi niyya ba da tsoffin ƙima ba.

swanctl --load-conns
swanctl --list-conns

Ka koma baya ta hanyar maido da fayil ɗin da ya gabata da sake lodawa, sannan ka maimaita waɗannan umarni biyu. Tunel ɗin da ke dawowa sai bayan sake kunna daemon ba a gyara shi ba, an sake saita shi.