ipsec.conf немесе swanctl.conf? Бір strongSwan интерфейсін таңдаңыз

Ескі нұсқаулықтағы жұмыс істейтін IKEv1 профилі Ubuntu 24.04-ке түседі, ал бірінші әрекет сәтсіз аяқталады, өйткені демон файлды ешқашан оқымаған. Әдеттегі жауап — профильді қайта өңдеу. Нағыз сұрақ: қай strongSwan интерфейсі орнатылған және жұмыс істеп тұрған қызмет қайсысын пайдаланады. Бұл жауапталмайынша, әр өңдеу болмауы мүмкін жүктеушіге бағытталады.

Екі файл, екі жүктеуші, бір демон

Ескі starter конфигурациясы ipsec.conf файлын оқып, қосылыстарды өзінің ескі басқару интеграциясы арқылы charon-ға береді. Оның операциялық кіру нүктесі — ipsec командасы.

swanctl конфигурациясы анықтамаларды VICI арқылы жүктейді, swanctl.conf файлын оқиды және swanctl командасымен басқарылады. systemd-ге туған charon демоны осы тәсілмен біріктірілген.

Екеуі де бір машинада орнатылуы мүмкін, шатасу осы жерден басталады. /etc астындағы файл оны біреу жазғанын ғана дәлелдейді, жұмыс істеп тұрған процесс оны жүктегенін емес. Қайсысы жұмыс істейтінін көру үшін барлық баламаны орнату екі басқару жолы бар және иесі анық емес хост жасайды. Бір конфигурацияны таңдап, екіншісін жойыңыз немесе өшіріңіз.

Орнатылған пакеттер мен unit-терді оқыңыз

Тек оқу режимінен бастаңыз. Ubuntu 24.04-те пакет атаулары бөлек: strongswan-starter, strongswan-swanctl және charon-systemd. Жоқ пакет — пайдалы ақпарат, оны орнату туралы нұсқау емес.

Пакеттер мен unit-терді бір өтуде түгендеңіз:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Содан кейін белсенді unit мен оның іске қосу командасын қараңыз. Unit атауы конфигурация қай демонға тиесілі екенін айтады, ал команда жолы оған қандай файлдарды оқу тапсырылғанын растайды. Қосылған, бірақ белсенді емес unit қазір жұмыс істеп тұрғаннан басқа әңгіме айтады.

Белсенді unit strongswan-starter болса, маңызды файл — ipsec.conf. Егер ол swanctl-мен charon-systemd болса, ipsec.conf тек әшекей.

Сәйкес басқару жолын пайдаланыңыз

Әр интерфейстің қосылыстар мен ассоциациялар туралы өз көзқарасы бар. swanctl --list-conns жүктелген анықтамаларды, swanctl --list-sas белсенді ассоциацияларды көрсетеді. Ескі жол ipsec statusall қолданады.

Оларды араластыру адастыратын қателер туғызады. VICI сокетінің болмауы немесе басқару сұранысының қабылданбауы — басқару жолының мәселесі, серіктестің аутентификацияны қабылдамағанының дәлелі емес.

Жұмыс істеп тұрған демонға тиесілі көріністі оқыңыз, содан кейін нәтижені түсіндіріңіз. Егер қосылыс сол көріністе болмаса, мәселе жүктеуде, келіссөзде емес.

Формат — IKE нұсқасы емес

Ескі профиль IKEv1-ді keyexchange=ikev1 арқылы таңдайды. swanctl қосылысы нұсқа параметрін қолданады, онда 1 IKEv1-ді таңдайды. Бұлар бір идеяның екі сөздігі, түрлендіру емес.

Серіктес мекенжайлары, жергілікті және қашықтағы сәйкестіктер, тіркелгі деректерінің көздері, ұсыныстар және child селекторлары әдейі сәйкестендірілуі керек. left/right блогын swanctl синтаксисіне қою бұлардың ешқайсысын жасамайды.

Тек протокол нұсқасын өзгерту — ең көп тараған жартылай көшіру. Ол жүктелетін, содан кейін нұсқаға қатысы жоқ себептермен аутентификациядан өтпейтін файл жасайды. IKEv1 өзі RFC 9395 бойынша ескірген, сондықтан оны әлі талап ететін бар серіктес құжатталған үйлесімдік шектеуіне және көшіру жолына лайық, жаңа әдепкіге емес.

Профильге тию алдында жүктеушіні тексеріңіз

Алдымен жүктеуші тексерісін орындаңыз, содан кейін көзделген қосылысты жүктеңіз, содан кейін келіссөзді, соңында қорғалған трафик жолын бағалаңыз. Әр кезеңнің сәтсіздік белгісі бөлек.

Екі басқару жолы жүктеу сұрағына тікелей жауап береді:

swanctl --list-conns
ipsec statusall

Бұл командалардың тек біреуі сіздің хостқа тиесілі. Екеуін де іске қосып, шығысты салыстыру қайсысы сізге өтірік айтып тұрғанын анықтау тәсілі, диагностика әдісі емес.

Пакет иелігін, конфигурацияны жүктеуді және протокол үйлесімділігін үш бөлек сұрақ ретінде қарастырыңыз. Бір интерфейске жарамды файл әйтпесе қайта-қайта өңделеді, ал басқа демон жұмыс істеп тұрады.