ipsec.conf, թե՞ swanctl.conf. Ընտրեք strongSwan-ի մեկ ինտերֆեյս

Հին ուղեցույցից աշխատող IKEv1 պրոֆիլը հայտնվում է Ubuntu 24.04-ում, և առաջին փորձը ձախողվում է, որովհետև դեմոնը երբեք չկարդաց ֆայլը։ Սովորական արձագանքը պրոֆիլը նորից խմբագրելն է։ Իսկական հարցն այն է, թե որ strongSwan ինտերֆեյսն է տեղադրված և որը օգտագործում է աշխատող ծառայությունը։ Քանի դեռ դա չի պատասխանվել, յուրաքանչյուր խմբագրում ուղղված է բեռնիչի, որը գուցե գոյություն չունի։

Երկու ֆայլ, երկու բեռնիչ, մեկ դեմոն

Հին starter կարգավորումը կարդում է ipsec.conf-ը և կապերը հանձնում charon-ին իր հին կառավարման ինտեգրման միջոցով։ Նրա գործառնական մուտքի կետը ipsec հրամանն է։

swanctl կարգավորումը սահմանումները բեռնում է VICI-ի միջոցով, կարդում swanctl.conf-ը և ղեկավարվում swanctl հրամանով։ systemd-ին բնիկ charon դեմոնը ինտեգրվում է այդ մոտեցմանը։

Երկուսն էլ կարող են տեղադրված լինել նույն մեքենայում, և հենց այդտեղ է սկսվում շփոթությունը։ /etc-ի տակ գտնվող ֆայլը միայն ապացուցում է, որ ինչ-որ մեկը գրել է այն, ոչ թե որ աշխատող պրոցեսը բեռնել է այն։ Բոլոր այլընտրանքները տեղադրելը, որպեսզի տեսնենք, թե որն է աշխատում, ստեղծում է հոսթ երկու կառավարման ուղիներով և առանց հստակ սեփականատիրոջ։ Ընտրեք մեկ կարգավորում և հեռացրեք կամ անջատեք մյուսը։

Կարդացեք տեղադրված փաթեթներն ու unit-ները

Սկսեք միայն կարդալու ռեժիմով։ Ubuntu 24.04-ում փաթեթների անունները առանձին են՝ strongswan-starter, strongswan-swanctl և charon-systemd։ Բացակայող փաթեթը օգտակար տեղեկություն է, ոչ թե հրահանգ այն տեղադրելու։

Մեկ անցումով թվարկեք փաթեթներն ու unit-ները՝

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Այնուհետև ուսումնասիրեք ակտիվ unit-ը և նրա մեկնարկի հրամանը։ Unit-ի անունը ասում է, թե որ դեմոնն է տիրապետում կոնֆիգուրացիային, իսկ հրամանի տողը հաստատում է, թե որ ֆայլերն է նրան հանձնարարվել կարդալ։ Միացված, բայց ոչ ակտիվ unit-ը այլ պատմություն է պատմում, քան հիմա աշխատողը։

Եթե ակտիվ unit-ը strongswan-starter է, ապա կարևոր ֆայլը ipsec.conf-ն է։ Եթե դա swanctl-ով charon-systemd է, ապա ipsec.conf-ը պարզապես զարդարանք է։

Օգտագործեք համապատասխան կառավարման ուղին

Յուրաքանչյուր ինտերֆեյս ունի կապերի և միավորումների իր պատկերացումը։ swanctl --list-conns-ը ցույց է տալիս բեռնված սահմանումները, իսկ swanctl --list-sas-ը՝ ակտիվ միավորումները։ Հին ուղին օգտագործում է ipsec statusall-ը։

Դրանք խառնելը մոլորեցնող սխալներ է առաջացնում։ Բացակայող VICI սոքեթը կամ մերժված կառավարման հարցումը կառավարման ուղու խնդիր է, ոչ թե ապացույց, որ գործընկերը մերժել է նույնականացումը։

Կարդացեք այն պատկերը, որը պատկանում է աշխատող դեմոնին, ապա մեկնաբանեք արդյունքը։ Եթե կապը բացակայում է այդ պատկերից, խնդիրը բեռնումն է, ոչ բանակցությունը։

Ձևաչափը IKE-ի տարբերակը չէ

Հին պրոֆիլը ընտրում է IKEv1՝ keyexchange=ikev1-ով։ swanctl կապը օգտագործում է տարբերակի կարգավորում, որտեղ 1-ը ընտրում է IKEv1։ Սրանք նույն գաղափարի երկու բառարաններ են, ոչ փոխարկում։

Գործընկերոջ հասցեները, տեղական և հեռավոր ինքնությունները, վկայականների աղբյուրները, առաջարկները և child ընտրիչները պետք է դիտավորյալ քարտեզագրվեն։ left/right բլոկը swanctl շարահյուսության մեջ տեղադրելը ոչինչ չի անում դրանից։

Միայն արձանագրության տարբերակը փոխելը ամենատարածված կիսամիգրացիան է։ Այն ստեղծում է ֆայլ, որը բեռնվում է, ապա չի անցնում նույնականացումը տարբերակի հետ կապ չունեցող պատճառներով։ IKEv1-ը ինքնին հնացել է RFC 9395-ով, ուստի գոյություն ունեցող գործընկերը, որը դեռ պահանջում է այն, արժանի է փաստաթղթավորված համատեղելիության սահմանափակման և միգրացիայի ուղու, ոչ թե նոր լռելյայնի։

Ստուգեք բեռնիչը նախքան պրոֆիլին դիպչելը

Նախ կատարեք բեռնիչի ստուգումը, ապա բեռնեք նախատեսված կապը, ապա գնահատեք բանակցությունը և վերջում՝ պաշտպանված տրաֆիկի ուղին։ Յուրաքանչյուր փուլ ունի ձախողման տարբեր ստորագրություն։

Կառավարման երկու ուղիները ուղղակիորեն պատասխանում են բեռնման հարցին՝

swanctl --list-conns
ipsec statusall

Այս հրամաններից միայն մեկն է պատկանում ձեր հոսթին։ Երկուսն էլ գործարկելը և ելքը համեմատելը ձեզ ստելու մասին պարզելու միջոց է, ոչ ախտորոշման մեթոդ։

Փաթեթների սեփականությունը, կոնֆիգուրացիայի բեռնումը և արձանագրության համատեղելիությունը դիտարկեք որպես երեք առանձին հարց։ Մեկ ինտերֆեյսի համար վավեր ֆայլը հակառակ դեպքում նորից ու նորից կխմբագրվի, մինչ մեկ այլ դեմոն է աշխատում։