Innlesið strongSwan-snið er ekki virk göng

Að telja upp tengingu í strongSwan-stillingunni sannar aðeins að skilgreining hafi verið lesin inn. Það þýðir ekki að haft hafi verið samband við mótpartinn, að IKE-SA sé til eða að nokkur umferð sé varin. Dæmoninn meðhöndlar skilgreiningar og lifandi tengingar sem aðskilda hluti, og fjarlægðin þar á milli er viljandi hönnunarval. Að vita hvaða hlut þú ert að skoða breytir óljósum bilun í ákveðna næstu skipun.

Innlestur er ekki tenging

Innlesin tenging er yfirlýsing um hvað má semja um síðar: mótpartsheiti, skilríki, tillögur og umferðarvalar. Ekkert í þeirri yfirlýsingu krefst þess að dæmoninn hafi hringt í neinn. Gátt getur beðið eftir hinum aðilanum, ræst við upphleðslu eða beðið eftir að samsvarandi umferð veki hana. Allt þrennt er gilt, og allt þrennt lítur eins út í stillingarskránni þar til þú lest ræsingarstefnuna.

Rekstraraðilar lenda í vandræðum með því að lesa skilgreiningalistann sem stöðulista. Sniðið er til staðar, svo gengið er út frá því að göngin séu uppi, og næsta klukkustund fer í að kemba leiðir fyrir tengingu sem var aldrei byggð.

Hin mistökin eru jafn algeng. Vantar snið og fólk fer á höndum sér í leit að netbilun þegar stillingin var aldrei lesin inn. Nefndu hlutinn og keyrðu svo skipunina sem fylgist með honum.

Þrír hlutir, þrjár athuganir

strongSwan heldur innlesinni skilgreiningu, IKE-SA og CHILD-SA. Sú fyrsta er stilling, önnur er auðkennd stjórnsamband og þriðja er samið vernd fyrir valda umferð. Þau hafa jafnvel aðskilin nöfn, svo snið sem heitir hq getur átt child sem heitir hq-lan.

Taflan tengir hvert lag við skipunina sem sýnir það. Lestu röðina áður en þú lest annálin.

Að biðja um childinn byggir fyrst yfirskipunina IKE-SA þegar engin er til. Að biðja aðeins um IKE-SA er önnur köllun. Stjórnrás sem auðkennir sig vel tryggir ekki childinn sem þú baðst um.

Sá munur skiptir máli við hluta bilun. IKE-SA getur verið heilbrigt á meðan childinn bregst á ósamsvari í vali eða tillögu sem mótparturinn samþykkir ekki. Hlutirnir tveir bregðast af ólíkum ástæðum, svo þeir eiga skilda athugun.

Veldu ræsingaraðgerðina viljandi

Í swanctl.conf ræður start_action childs hegðun eftir innlestur. Sjálfgefið none lætur skilgreininguna eftir handvirkri ræsingu eða notkun sem svarara. start hringir, en trap skilur eftir stefnu sem semur um leið og samsvarandi umferð birtist.

Þannig er bæði 'innlestur ræsir aldrei göng' og 'innlestur ræsir alltaf ein' rangt. Aðgerðin er hluti sniðsins og á að passa við hlutverk mótpartsins. Tvær gáttir sem báðar bíða eftir hinum aðilanum framleiða þögn, ekki göng.

Með trap verður umferðin að passa við valana, svo ótengd ping vekur ekkert. Með start verður mótpartsheitið að vera nothæft og báðir aðilar að vera sammála um auðkenningu og tillögur. Hvorug aðgerðin kemur í stað þess að athuga þessar forsendur.

Endurheimt er sérstök stefna

Upphleðsla er ekki lífstilkynning. Skynjun dauðs mótparts, skýr lokun mótparts, endurnýjun lykla og endurræsing ferlis eru ólíkir atburðir í lífsferlinum með eigin stillingar. Stilltu hvern þeirra viljandi í stað þess að ætla að upphafsræsing nái yfir þá alla.

Göng sem koma upp við ræsingu og drepast klukkustund síðar eru endurheimtuspurning. Ræsingarstefnan gerði sitt og hætti síðan að skipta máli. Skoðaðu DPD- og endurnýjunarstillingar áður en þú kennir upphafssamningunum um það.

Að skipta út innlesnum skilgreiningum er eigin aðgerð. Ræsingarstefnur sem ekki eru sjálfgefnar hafa skjalfest andstæðar aðgerðir, og endurhleðsla er rekstrarbreyting frekar en sú forsenda að hver tenging hafi verið uppfærð á staðnum. Framkvæmdu endurhleðslur í áföngum þar sem endurtenging er ásættanleg. Haltu gömlu stillingunni þar til sú nýja er sönnuð.

Athugaðu hvað er til áður en þú kembir leiðir

Keyrðu athuganirnar þrjár í röð: innlesnar skilgreiningar, virk IKE-SA og child-færslur. Hvert svar þrengir næstu spurningu. Slepptu þrepi og þú endar á að kemba lag sem var aldrei byggt.

Byrjaðu á því sem er innlesið og því sem er raunverulega komið á fót:

swanctl --list-conns
swanctl --list-sas

Ef childinn vantar þótt sniðið sé rétt, ræstu hann eftir nafni og sjáðu hvað gerist. Úttakið segir venjulega hvort yfirskipunin kom fyrst upp.

swanctl --initiate --child hq-lan

Virkur CHILD-SA er ekki marklínan. Áframsendingarreglur, leiðir og eigin heimild forritsins verða enn að stemma. Lífsferillinn svarar því sem var samið um; hann getur ekki ákveðið hver má nota þjónustuna.