Einn uppi, núll tengjast: hvað telur þessi strongSwan-lína

Lestu stöðulínu sem segir Security Associations (1 up, 0 connecting) og hún lítur út eins og skýrsla um eitt virkt göng. Tvö undirnet flytja umferð í gegnum hana á sama tíma, svo talan virðist ljúga. Hún lýgur ekki; hún telur IKE-samtök, og eitt þeirra getur hýst nokkur börn. Lestu birgðaskrárnar áður en þú snertir tillögu eða leið.

Hvers vegna hausinn og umferðin stemma ekki

Gamla stroke-úttakið kallar heild sína öryggissamtök og dregur hana frá IKE-samtakastjóranum. Hvert komið IKE-samtak leggur til eitt, óháð því hve mörg CHILD SA liggja undir því. Eitt IKEv2-foreldri ber venjulega nokkur börn, eitt fyrir hvert par umferðarvala, og samið val barns getur náð yfir fleiri en eitt netfang eða forskeyti. Fjöldi netfanga í stillingunni þinni hefur því enga fasta tengingu við töluna í hausnum.

Nútímaúttak sýnir stundum heild í stað gamla orðalagsins “up”, og dæmi sem stjórnað er af swanctl er alls ekki keyrt af gömlum stroke-stillingum. Ekki gera ráð fyrir hvorugt, orðalaginu né talningarreglunni milli útgáfa.

Berðu saman þrjár birgðaskrár áður en þú breytir einhverju

Byrjaðu á því sem er hlaðið, svo því sem er samið, svo því sem flytur raunverulega pakka. Þetta eru þrjár ólíkar spurningar og hver hefur sína skipun.

swanctl --list-conns
swanctl --list-sas

Fyrsta telur upp tengiskilgreiningar sem dæmið samþykkti. Önnur telur upp komin IKE-samtök með börnum sínum, og þar birtist raunverulega stigveldið. Skilgreining sem er í skrá en vantar í fyrstu skrána var aldrei hlaðin, og enginn fjöldi endurtekninga frá upphafsmanninum lagar það. Ef þú keyrir gamla viðmótið í staðinn er samsvarandi parið ipsec statusall og sama swanctl-skráin, eftir því hvaða viðbót á stillinguna. Ekki blanda verkfærum milli tveggja dæma á einum vélar og búast við einu samfelldu svari.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Hráa formið heldur auðkennum og völum sýnilegum til samanburðar, og kjarnastöðuskráin sýnir hvað staflinn telur sig hafa sett upp. Þegar dæmið og kjarninn eru ósammála var dæmið endurræst um núverandi barn eða kjarnahlutnum var eytt undan því.

Lestu stigveldið, ekki heildina

Dæmigert komið foreldri með tvö börn lítur út eins og einn hnútur með tvö börn undir sér, hvert merkt sínum eigin stöðu og ham. Dumpaðu raunverulega úttakið og teldu börnin sjálf í stað þess að lesa samantekt sem einhver límdi úr mælaborði.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Eitt foreldri með tvö uppsett börn er heilbrigt göng fyrir tvö undirnet. Eitt foreldri með eitt uppsett barn og eitt fjarverandi barn er önnur staða, og val fjarverandi barns er það sem bera á saman við tillögu fjarlæga aðilans. Við endurnýjun lykla geta gamalt barn og staðgengill þess birst saman í stutta stund. Haltu tímastimplinum með skyndimyndinni, því talning sem tekin er í miðri endurnýjun lítur út eins og tvítekning og talning eftir hana eins og tap.

Hlaðið, uppsett og umferð sem fer í gegn

Barn í uppsettri stöðu hefur samda skilyrði og kjarnafærslu. En það hefur ekki endilega flutt pakka: val getur verið þrengra en umferðin sem þú býst við, og leið getur sent þá umferð annað áður en göngin sjá hana. Sendu flæði sem passar við samda valana frá heimildarþjóni, og lestu svo teljara barnsins í stað haussins. Teljari sem stendur í núlli á meðan þú framleiðir samsvarandi umferð bendir á leiðslu eða stefnu, ekki á IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Að ræsa nefnt barn er viljandi aðgerð með sýnilegri niðurstöðu, og hún aðgreinir “tengingin er aðgerðarlaus því enginn bað um hana” frá “tengingin kemst ekki upp”. Gildru stefna á beiðni hagar sér nákvæmlega eins og fyrra tilfellið, svo lestu ræsingarstillingu tengingarinnar áður en þú kallar þetta bilun.

Þegar talningin er virkilega röng

Ef skilgreining vantar í hlaðna birgðaskrá, skoðaðu hleðslu stillingarinnar og hvaða dæmisafrit er í gangi. Ef hún er hlaðin en semur aldrei, berðu saman tillögur, auðkenningarsamhengi og val við jafningjann, eitt barn í einu. Breyttu einum þætti í hverri tilraun og skráðu auðkennið sem þú breyttir. Að bakka tillögu er auðvelt þegar maður veit hverja; það er gisk eftir þrjár breytingar sem aldrei voru aðskildar.

Lagaðu fyrst ranglesturinn. Flestar skýrslur um “vantar” annað göng enda með tveimur uppsettum börnum undir einu foreldri, og það eina sem nokkurn tíma var bilað var samantektarlínan sem fólk treysti í stað stigveldisins.