एक ऊपर, शून्य जुड़ रहे: वह strongSwan पंक्ति क्या गिनती है

Security Associations (1 up, 0 connecting) कहती एक स्थिति पंक्ति पढ़ें और यह एक चालू सुरंग की रिपोर्ट जैसी लगती है। दो सबनेट एक ही समय में इससे होकर ट्रैफ़िक भेज रहे हैं, इसलिए संख्या झूठ बोलती दिखती है। यह झूठ नहीं बोलती; यह IKE संबंध गिनती है, और उनमें से एक कई चाइल्ड रख सकता है। किसी प्रस्ताव या मार्ग को छूने से पहले सूचियाँ पढ़ें।

शीर्षक और ट्रैफ़िक में मेल क्यों नहीं है

पुराना stroke आउटपुट अपने कुल को सुरक्षा संबंध कहता है और इसे IKE संबंध प्रबंधक से लेता है। हर स्थापित IKE संबंध एक जोड़ता है, चाहे उसके नीचे कितने CHILD SA हों। एक IKEv2 जनक सामान्यतः कई चाइल्ड ले जाता है, हर ट्रैफ़िक-चयनक जोड़ी के लिए एक, और चाइल्ड के सहमत चयनक एक से अधिक पता या उपसर्ग कवर कर सकते हैं। इसलिए आपके कॉन्फ़िगरेशन में पतों की संख्या का शीर्षक की संख्या से कोई निश्चित संबंध नहीं है।

आधुनिक आउटपुट कभी-कभी पुरानी “up” शब्दावली के बजाय कुल दिखाता है, और swanctl-प्रबंधित डेमॉन पुरानी stroke सेटिंग्स से बिल्कुल नहीं चलता। संस्करणों के बीच न शब्दावली मानें और न गिनती का नियम।

कुछ बदलने से पहले तीन सूचियों की तुलना करें

जो लोड हुआ है उससे शुरू करें, फिर जो सहमत हुआ है, फिर जो वास्तव में पैकेट हिला रहा है। ये तीन अलग प्रश्न हैं और हर एक का अपना आदेश है।

swanctl --list-conns
swanctl --list-sas

पहली उन कनेक्शन परिभाषाओं को सूचीबद्ध करती है जिन्हें डेमॉन ने स्वीकार किया। दूसरी स्थापित IKE संबंधों को उनके चाइल्ड के साथ सूचीबद्ध करती है, और वहीं असली पदानुक्रम दिखता है। किसी फ़ाइल में मौजूद पर पहली सूची में अनुपस्थित परिभाषा कभी लोड नहीं हुई, और आरंभकर्ता के कितने भी पुनःप्रयास इसे ठीक नहीं करेंगे। यदि आप इसके बजाय पुराना इंटरफ़ेस चलाते हैं, तो समतुल्य जोड़ी ipsec statusall और वही swanctl सूची है, यह इस पर निर्भर है कि कॉन्फ़िगरेशन किस प्लगइन के पास है। एक ही होस्ट पर दो डेमॉन के बीच औज़ार न मिलाएँ और एक सुसंगत उत्तर की अपेक्षा न रखें।

swanctl --list-sas --raw | head -40
ip -s xfrm state

कच्चा रूप पहचानकर्ताओं और चयनकों को तुलना के लिए दिखाई देने योग्य रखता है, और कर्नेल स्थिति सूची दिखाती है कि स्टैक क्या स्थापित किया हुआ मानता है। जब डेमॉन और कर्नेल असहमत हों, तो या तो डेमॉन किसी मौजूदा चाइल्ड के इर्द-गिर्द पुनः चालू हुआ है या कर्नेल ऑब्जेक्ट उसके नीचे से हटा दिया गया है।

पदानुक्रम पढ़ें, कुल नहीं

दो चाइल्ड वाला एक उदाहरणात्मक स्थापित जनक एक नोड जैसा दिखता है जिसके नीचे दो चाइल्ड हैं, हर एक अपनी स्थिति और मोड के साथ अंकित। किसी के डैशबोर्ड से चिपकाए सारांश को पढ़ने के बजाय असली आउटपुट निकालें और चाइल्ड स्वयं गिनें।

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

दो स्थापित चाइल्ड वाला एक जनक स्वस्थ दो-सबनेट सुरंग है। एक स्थापित और एक अनुपस्थित चाइल्ड वाला जनक अलग स्थिति है, और गायब चाइल्ड के चयनक ही वे चीज़ें हैं जिन्हें दूर के पक्ष के प्रस्ताव से तुलना करनी है। कुंजी नवीनीकरण के दौरान एक पुराना चाइल्ड और उसका प्रतिस्थापन थोड़े समय के लिए साथ दिख सकते हैं। स्नैपशॉट के साथ समय-चिह्न रखें, क्योंकि नवीनीकरण के बीच में लिया गया गणन दोहराव जैसा लगता है और उसके बाद लिया गया गणन हानि जैसा।

लोड किया गया, स्थापित और ट्रैफ़िक गुज़रता हुआ

स्थापित स्थिति में चाइल्ड के सहमत पैरामीटर और कर्नेल में एक प्रविष्टि होती है। पर यह ज़रूरी नहीं कि कोई पैकेट ले गया हो: चयनक आपकी अपेक्षा के ट्रैफ़िक से सँकरे हो सकते हैं, और कोई मार्ग उस ट्रैफ़िक को सुरंग के देखने से पहले कहीं और भेज सकता है। अधिकृत होस्ट से सहमत चयनकों से मेल खाता प्रवाह भेजें, फिर शीर्षक के बजाय चाइल्ड के काउंटर पढ़ें। मेल खाता ट्रैफ़िक बनाते समय शून्य पर रहने वाला काउंटर IKE की नहीं, रूटिंग या नीति की ओर संकेत करता है।

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

नामित चाइल्ड शुरू करना दृश्य परिणाम वाला जानबूझकर किया गया कार्य है, और यह “कनेक्शन इसलिए निष्क्रिय है क्योंकि किसी ने नहीं माँगा” को “कनेक्शन ऊपर नहीं आ सकता” से अलग करता है। माँग पर ट्रैप नीति ठीक पहले मामले जैसा व्यवहार करती है, इसलिए इसे खराबी कहने से पहले कनेक्शन की आरंभ सेटिंग पढ़ें।

जब गिनती वाकई ग़लत हो

यदि लोड की गई सूची में कोई परिभाषा गायब है, तो कॉन्फ़िगरेशन लोडिंग और यह देखें कि कौन-सा डेमॉन उदाहरण चल रहा है। यदि यह लोड है पर कभी सहमत नहीं होता, तो प्रस्ताव, प्रमाणीकरण संदर्भ और चयनक साथी से तुलना करें, एक बार में एक चाइल्ड। हर प्रयास में एक तत्व बदलें और जो पहचानकर्ता बदला उसे दर्ज करें। कौन-सा है यह जानने पर प्रस्ताव वापस लेना तुच्छ है; कभी अलग न किए गए तीन संपादनों के बाद यह अनुमान है।

पहले गलत पठन ठीक करें। “गायब” दूसरी सुरंग की अधिकांश रिपोर्टें एक जनक के नीचे दो स्थापित चाइल्ड पर समाप्त होती हैं, और कभी टूटी हुई एकमात्र चीज़ वह सारांश पंक्ति थी जिस पर लोग पदानुक्रम के बजाय भरोसा करते थे।