Մեկը վերև, զրո միացող՝ ինչ է հաշվում strongSwan-ի այդ տողը

Կարդացեք կարգավիճակի տող, որն ասում է Security Associations (1 up, 0 connecting), և այն նման է մեկ աշխատող թունելի մասին հաշվետվության։ Երկու ենթացանց միաժամանակ դրա միջով երթևեկություն են անցկացնում, ուստի թիվը կարծես ստում է։ Այն չի ստում. այն հաշվում է IKE միավորումներ, և դրանցից մեկը կարող է տեղավորել մի քանի զավակ։ Կարդացեք գույքագրերը նախքան առաջարկին կամ երթուղուն դիպչելը։

Ինչու վերնագիրն ու երթևեկությունը չեն համընկնում

Հին stroke ելքը իր գումարը անվանում է անվտանգության միավորումներ և այն ստանում է IKE միավորումների կառավարիչից։ Յուրաքանչյուր հաստատված IKE միավորում ավելացնում է մեկը՝ անկախ նրանից, թե քանի CHILD SA կա դրա տակ։ Մեկ IKEv2 ծնողը սովորաբար կրում է մի քանի զավակ՝ մեկը յուրաքանչյուր երթևեկության ընտրիչ զույգի համար, և զավակի համաձայնեցված ընտրիչները կարող են ընդգրկել մեկից ավելի հասցե կամ նախածանց։ Ուստի ձեր կարգավորման մեջ հասցեների քանակը հաստատուն կապ չունի վերնագրի թվի հետ։

Ժամանակակից ելքը երբեմն ցույց է տալիս գումար հին «up» ձևակերպման փոխարեն, և swanctl-ով կառավարվող դեմոնն ընդհանրապես չի ղեկավարվում հին stroke կարգավորումներով։ Մի՛ ընդունեք ոչ ձևակերպումը, ոչ հաշվարկի կանոնը տարբերակների միջև։

Նախքան որևէ բան փոխելը համեմատեք երեք գույքագիր

Սկսեք նրանից, ինչ բեռնված է, ապա նրանից, ինչ համաձայնեցված է, ապա նրանից, ինչ իրականում տեղափոխում է փաթեթներ։ Դրանք երեք տարբեր հարցեր են, և յուրաքանչյուրն ունի իր հրամանը։

swanctl --list-conns
swanctl --list-sas

Առաջինը թվարկում է կապի սահմանումները, որոնք դեմոնն ընդունել է։ Երկրորդը թվարկում է հաստատված IKE միավորումները իրենց զավակներով, և հենց այնտեղ է երևում իսկական հիերարխիան։ Ֆայլում առկա, բայց առաջին ցանկում բացակայող սահմանումը երբեք չի բեռնվել, և նախաձեռնողի որքան էլ կրկնափորձեր լինեն, դա չի ուղղի։ Եթե փոխարենը գործարկում եք հին ինտերֆեյսը, համարժեք զույգը ipsec statusall-ն է և նույն swanctl ցանկը՝ կախված նրանից, թե որ պլագինն է տիրում կարգավորմանը։ Մի՛ խառնեք գործիքները մեկ հոսթի երկու դեմոնների միջև և մի՛ սպասեք մեկ համահունչ պատասխանի։

swanctl --list-sas --raw | head -40
ip -s xfrm state

Հում ձևը տեսանելի է պահում նույնացուցիչներն ու ընտրիչները համեմատության համար, և միջուկի վիճակի ցանկը ցույց է տալիս, թե ինչ է կույտը կարծում, որ տեղադրել է։ Երբ դեմոնն ու միջուկը չեն համընկնում, կա՛մ դեմոնը վերագործարկվել է գոյություն ունեցող զավակի շուրջ, կա՛մ միջուկի օբյեկտը հեռացվել է դրա տակից։

Կարդացեք հիերարխիան, ոչ թե գումարը

Երկու զավակով պատկերազարդ հաստատված ծնողը նման է մեկ հանգույցի, որի տակ երկու զավակ կա՝ յուրաքանչյուրն իր վիճակով և ռեժիմով նշված։ Արտածեք իրական ելքը և ինքներդ հաշվեք զավակներին՝ փոխանակ կարդալու ինչ-որ մեկի վահանակից տեղադրած ամփոփումը։

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Երկու տեղադրված զավակով մեկ ծնողը առողջ երկու ենթացանցի թունել է։ Մեկ տեղադրված և մեկ բացակայող զավակով ծնողը այլ իրավիճակ է, և բացակայող զավակի ընտրիչներն են այն, ինչ պետք է համեմատել հեռավոր կողմի առաջարկի հետ։ Բանալիների նորացման ընթացքում հին զավակն ու նրա փոխարինողը կարող են կարճ ժամանակ միասին երևալ։ Պահեք ժամանակի դրոշմանիշը պատկերի հետ, որովհետև նորացման կեսին վերցված հաշվարկը կրկնօրինակում է թվում, իսկ դրանից հետո վերցվածը՝ կորուստ։

Բեռնված, տեղադրված և անցնող երթևեկություն

Տեղադրված վիճակում գտնվող զավակն ունի համաձայնեցված պարամետրեր և միջուկում գրառում։ Բայց այն պարտադիր չէ, որ փաթեթ տեղափոխած լինի. ընտրիչները կարող են ավելի նեղ լինել, քան սպասված երթևեկությունը, և երթուղին կարող է այդ երթևեկն ուղարկել այլուր, նախքան թունելը կտեսնի այն։ Ուղարկեք համաձայնեցված ընտրիչներին համապատասխան հոսք լիազորված հոսթից, ապա վերնագրի փոխարեն կարդացեք զավակի հաշվիչները։ Զրոյի վրա մնացող հաշվիչը, մինչ դուք համապատասխան երթևեկություն եք առաջացնում, մատնանշում է երթուղավորում կամ քաղաքականություն, ոչ թե IKE։

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Անվանված զավակի գործարկումը տեսանելի արդյունքով դիտավորյալ գործողություն է, և այն տարբերում է «կապը պարապ է, որովհետև ոչ ոք չի խնդրել»-ը «կապը չի կարող բարձրանալ»-ից։ Պահանջով թակարդային քաղաքականությունը վարվում է ճիշտ ինչպես առաջին դեպքը, ուստի կարդացեք կապի գործարկման կարգավորումը նախքան այն անսարքություն անվանելը։

Երբ հաշվարկն իրոք սխալ է

Եթե սահմանումը բացակայում է բեռնված գույքագրից, նայեք կարգավորման բեռնմանը և թե որ դեմոնի օրինակն է աշխատում։ Եթե այն բեռնված է, բայց երբեք չի համաձայնեցնում, համեմատեք առաջարկները, նույնականացման համատեքստը և ընտրիչները գործընկերոջ հետ՝ մեկ զավակ միաժամանակ։ Փոխեք մեկ տարր յուրաքանչյուր փորձի համար և գրանցեք փոխված նույնացուցիչը։ Առաջարկը հետ շրջելը չնչին է, երբ գիտեք, թե որն է. դա գուշակություն է երեք խմբագրումներից հետո, որոնք երբեք չեն առանձնացվել։

Նախ ուղղեք սխալ ընթերցումը։ «Բացակայող» երկրորդ թունելի մասին հաշվետվությունների մեծ մասը ավարտվում է մեկ ծնողի տակ երկու տեղադրված զավակով, և միակ բանը, որ երբևէ կոտրված է եղել, այն ամփոփման տողն էր, որին մարդիկ վստահում էին հիերարխիայի փոխարեն։