strongSwan helst niðri eftir endurræsingu peer: endurheimta einn göng

Hættið við endurræsingu daemonsins. Setjið frumkvæði og DPD á tenginguna sem verður að koma til baka, og staðfestið síðan eftir nafni og sannið þjónustuna, ekki daemoninn.

Fjargáttin endurræsist, kemur til baka innan mínútu, og staðbundni strongSwan-daemoninn heldur áfram að keyra á meðan göngin eru enn niðri. Cron-verk sem greppar ESTABLISHED og endurræsir daemoninn mun að lokum hylja þetta, og það mun líka trufla hvert ótengt göng á vélinni á meðan það kann að sleppa því sem mistókst. Endurheimtin tilheyrir tengingunni sem verður að koma til baka, sett fram í stillingum sem lifa af endurhleðslu. Þessi runbook setur þetta upp fyrir eina tengingu og sannar niðurstöðuna eftir nafni.

Hættið við almenna endurræsingu, geymið sönnunargögnin

Endurræsing daemonsins hefur tvo sérstaka galla: hún eyðileggur stöðu hverrar tengingar, og hún segir þér ekkert um hvaða atburður mistókst í raun. Stöðutextinn sem þú greppaðir gæti hafa komið frá annarri tengingu, á meðan nauðsynlega child-ið sat aðgerðalaust því ekkert setti það af stað.

Lestu hlaðnar tengingar og virk samtök áður en þú breytir nokkru, svo þú hafir mynd af fyrri stöðu til að bera saman við þegar peer kemur til baka.

swanctl --list-conns
swanctl --list-sas

Setjið frumkvæði og endurteknar tilraunir á tenginguna sem kemur til baka

Í swanctl.conf uppsetningu lifa þessar stillingar á tengingar- og child-stigi frekar en í almennri stefnu. Brotið hér að neðan er dæmi frá hlið frumkvæðisins sem gerir ráð fyrir að tillögur, auðkenning og veljarar séu þegar réttir.

connections {
    branch {
        keyingtries = 0
        dpd_delay = 30s
        children {
            private-lan {
                start_action = trap|start
                dpd_action = restart
            }
        }
    }
}

start_action ræður því hvað gerist þegar child-ið er hlaðið: start hefur frumkvæði strax, en trap setur upp stefnu sem kveikir frumkvæði þegar samsvarandi umferð birtist. Að skrifa trap|start krefst strongSwan 5.9.6 eða nýrra, svo athugaðu útgáfuna áður en þú afritar línuna. dpd_action=restart biður um nýjar samningaviðræður um leið og peer er lýstur dauður, og keyingtries=0 á tengingarstigi leyfir frekari tilraunir þar til árangur eða varanleg villa kemur. Undir IKEv2 hefur dpd_timeout engin áhrif, því venjuleg endursending ræður því hvenær peer svarar ekki.

Töfin í því dæmi er upphafspunktur en ekki algilt tímamark. Veldu hana út frá því hversu lengi endurræsing peersins tekur og hversu mikla endursendingu þú ert tilbúin að þola.

Vitaðu frá hvaða atburði þú ert að endurheimta

Þrjú mistök líta eins út á mælaborði og þurfa mismunandi stillingar. Upphafstenging sem komst aldrei upp er stillingar- eða aðgengisvandamál. Peer sem hætti að svara er DPD-tilfellið. Child sem peer lokaði sérstaklega er stefnuatburður með eigin close_action, sem DPD tekur aldrei eftir. Að lesa loggið í kringum truflunina segir þér hvert þriggja þú hefur, og svarið breytir lagfæringunni.

Bættu ekki við árásargjarnri endurfrumkvæðingu á tengingu sem stjórnendur loka viljandi vegna viðhalds, annars birtist göngin aftur um miðjan gluggann. Fyrir hönnun eftir eftirspurn er varðveitt trap nóg, því samsvarandi umferð endurreisir child-ið án nokkurrar tímamælis.

Staðfestu eftir nafni, ekki stöðu daemonsins

Lestu tenginguna og child-ið hennar eftir nafni á meðan peer er enn niðri, og svo aftur þegar það kemur til baka; munurinn á þessum tveimur úttökum er sönnunin.

swanctl --initiate --child private-lan
swanctl --terminate --ike branch

Staðfestu svo þjónustuna frekar en samtökin. Nýtt öryggissamtök child ásamt vel heppnaðri beiðni til einkaaðfangstins á bak við það eru þau tvö staðreyndir sem skipta máli, og keyrandi daemon með heilbrigðum ótengdum göngum sannar hvorugt.

Ef child-ið hefur aldrei frumkvæði, athugaðu hvort prófumferðin passi nákvæmlega við stilltu veljarana, þar á meðal prótókol og port. Ef það hefur frumkvæði og mistekst, lestu auðkenningar- eða tillöguvilluna í stað þess að fela hana bak við endalausa lykkju, því keyingtries=0 mun endurtaka varanlegt höfnun að eilífu.

Hlaðið breytingunni í glugga og prófið aftur

Endurhleðsla er öruggari en að endurræsa daemoninn, og er samt ekki ókeypis: að skipta út eða afferma child getur lokað byrjuðum samtökum eða sleppt trap-inu þess.

Hlaðið á viðhaldsglugga, geymið fyrri skrána og staðfestið að tengingin birtist með stillingunum sem þú ætlaðir en ekki sjálfgefnum.

swanctl --load-conns
swanctl --list-conns

Rúllið til baka með því að endurheimta fyrri skrána og hlaða henni aftur, og endurtakið svo sömu tvær skipanirnar. Göng sem koma aðeins til baka eftir endurræsingu daemonsins hafa ekki verið lögfærð, heldur endurstillt.

Tengdir greinar