Egy fent, nulla csatlakozó: mit számol az a strongSwan-sor

Olvasson el egy állapotsort, amely azt mondja: Security Associations (1 up, 0 connecting), és úgy tűnik, mintha egy működő alagútról szólna jelentés. Két alhálózat egyszerre továbbít rajta forgalmat, ezért úgy tűnik, a szám hazudik. Nem hazudik; IKE-társításokat számol, és azok egyike több gyermeket is elhelyezhet. Olvassa el a leltárakat, mielőtt hozzányúlna egy javaslathoz vagy egy útvonalhoz.

Miért nem egyezik a fejléc és a forgalom

A régi stroke-kimenet biztonsági társításoknak nevezi az összegét, és az IKE-társítás-kezelőből vezeti le. Minden létrejött IKE-társítás egyet ad hozzá, függetlenül attól, hány CHILD SA van alatta. Egyetlen IKEv2-szülő általában több gyermeket hordoz, egyet forgalomszelektor-páronként, és egy gyermek egyeztetett szelektorai egynél több címet vagy előtagot is lefedhetnek. Ezért a konfigurációjában lévő címek száma nem áll állandó kapcsolatban a fejlécben szereplő számmal.

A modern kimenet néha összeget mutat a régi „up” megfogalmazás helyett, és a swanctl által kezelt démont egyáltalán nem vezérlik a régi stroke-beállítások. Ne tekintse adottnak sem a megfogalmazást, sem a számolási szabályt a verziók között.

Hasonlítson össze három leltárt, mielőtt bármit módosít

Kezdje azzal, ami be van töltve, aztán azzal, ami egyeztetve van, aztán azzal, ami valóban csomagokat mozgat. Ez három különböző kérdés, és mindegyiknek megvan a maga parancsa.

swanctl --list-conns
swanctl --list-sas

Az első azokat a kapcsolatdefiníciókat sorolja fel, amelyeket a démon elfogadott. A második a létrejött IKE-társításokat sorolja fel a gyermekeikkel, és ott jelenik meg az igazi hierarchia. Egy fájlban létező, de az első listából hiányzó definíció soha nem töltődött be, és a kezdeményező újrapróbálkozásainak száma sem javítja ezt. Ha inkább a régi felületet futtatja, az egyenértékű pár a ipsec statusall és ugyanaz a swanctl-lista, attól függően, melyik bővítmény birtokolja a konfigurációt. Ne keverje az eszközöket két démon között egy gazdagépen és ne várjon egyetlen összefüggő választ.

swanctl --list-sas --raw | head -40
ip -s xfrm state

A nyers forma láthatóvá teszi az azonosítókat és szelektorokat az összehasonlításhoz, a kernel állapotlistája pedig megmutatja, mit hisz a verem telepítettnek. Amikor a démon és a kernel nem ért egyet, vagy a démon egy meglévő gyermek körül indult újra, vagy a kernelobjektumot eltávolították alóla.

A hierarchiát olvassa, ne az összeget

Egy szemléltető létrejött szülő két gyermekkel úgy néz ki, mint egy csomópont két gyermekkel alatta, mindegyik a saját állapotával és módjával címkézve. Öntse ki a tényleges kimenetet, és maga számolja meg a gyermekeket, ahelyett hogy valaki által egy műszerfalról beillesztett összefoglalót olvasna.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Egy szülő két telepített gyermekkel egészséges kétalhálózatos alagút. Egy szülő egy telepített és egy hiányzó gyermekkel más helyzet, és a hiányzó gyermek szelektorait kell összevetni a távoli fél javaslatával. Kulcsújítás közben egy régi gyermek és utódja rövid ideig együtt is megjelenhet. Tartsa az időbélyeget a pillanatkép mellett, mert az újítás közepén vett számlálás duplikációnak, az utána vett pedig veszteségnek látszik.

Betöltve, telepítve és forgalom, amely átmegy

A telepített állapotú gyermeknek egyeztetett paraméterei és kernelbejegyzése vannak. De nem feltétlenül vitt át csomagot: a szelektorok szűkebbek lehetnek a várt forgalomnál, és egy útvonal máshová küldheti azt a forgalmat, mielőtt az alagút egyáltalán látná. Küldjön az egyeztetett szelektoroknak megfelelő folyamot egy jogosult gazdagépről, majd a fejléc helyett a gyermek számlálóit olvassa. Az a számláló, amely nullán marad, miközben megfelelő forgalmat generál, az útvonalválasztásra vagy a házirendre utal, nem az IKE-re.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Egy elnevezett gyermek indítása látható eredményű szándékos művelet, és elválasztja azt, hogy „a kapcsolat azért tétlen, mert senki nem kérte”, attól, hogy „a kapcsolat nem tud feljönni”. Az igény szerinti csapdaházirend pontosan úgy viselkedik, mint az első eset, ezért olvassa el a kapcsolat indítási beállítását, mielőtt hibának nevezné.

Amikor a számlálás valóban hibás

Ha egy definíció hiányzik a betöltött leltárból, nézze meg a konfiguráció betöltését és azt, melyik démonpéldány fut. Ha be van töltve, de soha nem egyeztet, hasonlítsa össze a javaslatokat, a hitelesítési környezetet és a szelektorokat a partnerrel, egyszerre egy gyermeket. Minden próbálkozásnál egy elemet változtasson, és jegyezze fel a módosított azonosítót. Egy javaslat visszaállítása triviális, ha tudja, melyik; találgatás három olyan szerkesztés után, amelyeket soha nem választottak szét.

Először a félreolvasást javítsa. A „hiányzó” második alagútról szóló jelentések többsége két telepített gyermekkel végződik egy szülő alatt, és az egyetlen dolog, ami valaha elromlott, az az összefoglaló sor volt, amelyben az emberek a hierarchia helyett megbíztak.