ipsec.conf vagy swanctl.conf? Válasszon egy strongSwan-frontendet

Egy régi útmutatóból származó működő IKEv1-profil érkezik az Ubuntu 24.04-re, és az első kísérlet meghiúsul, mert a démon soha nem olvasta be a fájlt. A szokásos válasz az, hogy újra szerkesztjük a profilt. Az igazi kérdés az, melyik strongSwan-frontend van telepítve, és melyiket használja a futó szolgáltatás. Amíg ez nem tisztázódik, minden szerkesztés egy olyan betöltőt céloz, amely talán nem is létezik.

Két fájl, két betöltő, egy démon

A régi starter-elrendezés az ipsec.conf fájlt olvassa, és a kapcsolatokat a régi felügyeleti integrációján keresztül adja át a charonnak. Működési belépési pontja az ipsec parancs.

A swanctl-elrendezés a VICI-n keresztül tölti be a definíciókat, a swanctl.conf fájlt olvassa, és a swanctl parancs vezérli. A systemd-natív charon démon ehhez a megközelítéshez illeszkedik.

Mindkettő telepíthető ugyanarra a gépre, és itt kezdődik a zavar. Az /etc alatti fájl csak azt bizonyítja, hogy valaki megírta, nem azt, hogy a futó folyamat betöltötte. Ha minden alternatívát telepítünk, hogy lássuk, melyik működik, olyan gazdagépet kapunk, amelynek két felügyeleti útvonala van, és nincs egyértelmű tulajdonosa. Válasszon egy elrendezést, és távolítsa el vagy tiltsa le a másikat.

Olvassa el a telepített csomagokat és unitokat

Kezdje csak olvasható módban. Az Ubuntu 24.04 csomagjainak nevei különváltak: strongswan-starter, strongswan-swanctl és charon-systemd. A hiányzó csomag hasznos információ, nem utasítás a telepítésére.

Készítsen leltárt a csomagokról és a unitokról egyetlen menetben:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Ezután vizsgálja meg az aktív unitot és annak indítási parancsát. Az unit neve megmondja, melyik démon birtokolja a konfigurációt, a parancssor pedig megerősíti, mely fájlokat kellett beolvasnia. Az engedélyezett, de inaktív unit más történetet mesél, mint a most futó.

Ha az aktív unit a strongswan-starter, akkor az ipsec.conf a fontos fájl. Ha a charon-systemd swanctl-lel, akkor az ipsec.conf csak díszítés.

Használja a megfelelő vezérlési útvonalat

Minden frontendnek saját képe van a kapcsolatokról és a társulásokról. A swanctl --list-conns a betöltött definíciókat, a swanctl --list-sas az aktív társulásokat mutatja. A régi útvonal az ipsec statusall parancsot használja.

Keverésük félrevezető hibákat okoz. A hiányzó VICI-socket vagy az elutasított vezérlési kérés felügyeleti útvonal-probléma, nem bizonyíték arra, hogy a partner elutasította a hitelesítést.

Olvassa el a futó démonhoz tartozó nézetet, majd értelmezze az eredményt. Ha a kapcsolat hiányzik ebből a nézetből, a probléma a betöltés, nem a tárgyalás.

A formátum nem az IKE-verzió

Egy régi profil a keyexchange=ikev1 beállítással választja az IKEv1-et. A swanctl-kapcsolat verzióbeállítást használ, ahol az 1 az IKEv1-et választja. Ez két szótár ugyanarra az ötletre, nem átalakítás.

A partner címeit, a helyi és távoli identitásokat, a hitelesítőadat-forrásokat, a javaslatokat és a child-szelektorokat szándékosan kell leképezni. Egy left/right blokk beillesztése a swanctl szintaxisba ebből semmit nem tesz meg.

Csak a protokollverzió megváltoztatása a leggyakoribb félmigráció. Olyan fájlt eredményez, amely betöltődik, majd a verziótól független okokból meghiúsul a hitelesítés. Maga az IKEv1 az RFC 9395 szerint elavult, ezért a meglévő partner, amely még mindig igényli, dokumentált kompatibilitási korlátot és migrációs útvonalat érdemel, nem új alapértelmezést.

Ellenőrizze a betöltőt, mielőtt a profilhoz nyúl

Először futtassa a betöltő ellenőrzését, majd töltse be a kívánt kapcsolatot, aztán értékelje a tárgyalást, végül a védett forgalom útvonalát. Minden szakasznak más a hiba-aláírása.

A két vezérlési útvonal közvetlenül válaszol a betöltés kérdésére:

swanctl --list-conns
ipsec statusall

Ezek közül csak az egyik parancs tartozik a gazdagépéhez. Mindkettő futtatása és a kimenet összehasonlítása arra való, hogy kiderítse, melyik hazudik önnek, nem diagnosztikai módszer.

Kezelje a csomagtulajdont, a konfiguráció betöltését és a protokoll kompatibilitását három külön kérdésként. Egy frontendhez érvényes fájlt különben újra és újra szerkeszteni fognak, miközben egy másik démon fut.