ipsec.conf eða swanctl.conf? Veldu einn strongSwan-framendi

Virk IKEv1-snið úr eldri leiðbeiningu lendir á Ubuntu 24.04, og fyrsta tilraunin mistekst því dæmoninn las aldrei skrána. Venjulega viðbrögðin eru að breyta sniðinu aftur. Raunverulega spurningin er hvaða strongSwan-framendi er uppsettur og hvor keyrandi þjónustan notar. Þar til því er svarað beinist hver breyting að hleðslutæki sem kann að vera ekki til.

Tvær skrár, tvö hleðslutæki, einn dæmon

Gamla starter-fyrirkomulagið les ipsec.conf og afhendir tengingar charon í gegnum gamla stjórnunarsamþættingu sína. Vinnsluinngangspunktur þess er ipsec-skipunin.

swanctl-fyrirkomulagið hleður skilgreiningum í gegnum VICI, les swanctl.conf og er stýrt af swanctl-skipuninni. charon-dæmoninn sem er innbyggður í systemd samþættist þeirri nálgun.

Báðir geta verið uppsettir á sömu vél, og þar byrjar ruglið. Skrá undir /etc sannar aðeins að einhver skrifaði hana, ekki að keyrandi ferlið hafi hlaðið henni. Að setja upp alla valkosti til að sjá hver virkar skapar hýsil með tveimur stjórnunarleiðum og engan skýran eiganda. Veldu eitt fyrirkomulag og fjarlægðu eða slökktu á hinu.

Lestu uppsettu pakkana og unitin

Byrjaðu í lesham. Pakkaheitin á Ubuntu 24.04 eru aðskilin: strongswan-starter, strongswan-swanctl og charon-systemd. Pakki sem vantar er gagnleg upplýsing, ekki fyrirmæli um að setja hann upp.

Gerðu lista yfir pakkana og unitin í einni ferð:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Skoðaðu síðan virka unitið og ræsiskipun þess. Heiti unitsins segir hvaða dæmon á stillingarnar, og skipanalínan staðfestir hvaða skrár honum var sagt að lesa. Unit sem er virkjað en óvirkt segir aðra sögu en það sem er í gangi núna.

Ef virka unitið er strongswan-starter er ipsec.conf skráin sem skiptir máli. Ef það er charon-systemd með swanctl er ipsec.conf bara skraut.

Notaðu samsvarandi stjórnunarleið

Hver framendi hefur sína eigin sýn á tengingar og samtök. swanctl --list-conns sýnir hlaðnar skilgreiningar og swanctl --list-sas sýnir virk samtök. Gamla leiðin notar ipsec statusall.

Að blanda þeim framleiðir villandi villur. Vantar VICI-tengi eða hafnaðri stjórnunarbeiðni er vandamál í stjórnunarleiðinni, ekki sönnun þess að mótaðilinn hafi hafnað auðkenningu.

Lestu sýnina sem tilheyrir keyrandi dæmoninum, og túlkaðu síðan niðurstöðuna. Ef tengingin vantar í þeirri sýn er vandamálið hleðsla, ekki samningaviðræður.

Sniðið er ekki IKE-útgáfan

Gamalt snið velur IKEv1 með keyexchange=ikev1. swanctl-tenging notar útgáfustillingu þar sem 1 velur IKEv1. Þetta eru tvö orðasöfn fyrir sömu hugmynd, ekki umbreyting.

Vistföng mótaðilans, staðbundin og fjarlæg auðkenni, uppsprettur skírteina, tillögur og child-valar verða að vera varpað viljandi. Að líma left/right-blokk inn í swanctl-setningu gerir ekkert af þessu.

Að breyta aðeins samskiptaregluútgáfunni er algengasta hálfa flutningurinn. Það býr til skrá sem hleðst og mistekst síðan auðkenningu af ástæðum sem tengjast ekki útgáfunni. IKEv1 sjálft er úrelt af RFC 9395, þannig að núverandi mótaðili sem krefst þess enn á skilið skjalfesta samhæfingartakmörkun og flutningsleið, ekki nýtt sjálfgefið gildi.

Athugaðu hleðslutækið áður en þú snertir sniðið

Keyrðu hleðslutækjaprófið fyrst, hladdu síðan ætlaðri tengingu, mettu síðan samningaviðræðurnar og að lokum leið verndar umferðar. Hvert stig hefur mismunandi mistökseinkenni.

Stjórnunarleiðirnar tvær svara hleðsluspurningunni beint:

swanctl --list-conns
ipsec statusall

Aðeins ein þessara skipana tilheyrir hýslinum þínum. Að keyra báðar og bera saman úttakið er leið til að komast að því hvor er að ljúga að þér, ekki greiningaraðferð.

Meðhöndlaðu eign pakka, hleðslu stillinga og samhæfingu samskiptareglna sem þrjár aðskildar spurningar. Skrá sem gildir fyrir einn framenda verður annars breytt aftur og aftur á meðan annar dæmon er í gangi.