Жүктелген strongSwan профилі белсенді туннель емес
strongSwan анықтамаларды жүктеп, содан кейін IKE және CHILD SA келіседі. Профильдің жүктелуі туннельдің бар-жоғын немесе оны кім іске қосатынын білдірмейді.
strongSwan конфигурациясында қосылымды тізімдеу тек анықтаманың жүктелгенін дәлелдейді. Бұл серіктеспен байланысқанын, IKE SA бар екенін немесе қандай да бір трафиктің қорғалғанын білдірмейді. Демон анықтамаларды және тірі ассоциацияларды бөлек нысандар ретінде қарастырады, ал олардың арасындағы қашықтық — әдейі жасалған жобалау шешімі. Қай нысанды тексеретініңізді білу бұлыңғыр ақауды нақты келесі командаға айналдырады.
Жүктеу — бұл қосылу емес
Жүктелген қосылым кейінірек не туралы келісуге болатынын білдіретін мәлімдеме: серіктес мекенжайлары, тіркелгі деректері, ұсыныстар және трафик селекторлары. Бұл мәлімдемеде демонның біреуге қоңырау шалғанын талап ететін ештеңе жоқ. Шлюз қарсы жақты күтуі, іске қосылу кезінде бастамашы болуы немесе сәйкес трафик оятанын күтуі мүмкін. Үшеуі де жарамды және үшеуі де іске қосу саясатын оқығанға дейін конфигурация файлында бірдей көрінеді.
Операторлар анықтамалар тізімін күй тізімі ретінде оқып, қиындыққа тап болады. Профиль бар, сондықтан туннель көтерілді деп есептеледі, ал келесі сағат ешқашан құрылмаған ассоциацияның маршруттарын жөндеуге кетеді.
Керісінше қате де соншалықты жиі кездеседі. Жоқ профиль адамдарды конфигурация ешқашан жүктелмесе де, желілік ақауды іздеуге жібереді. Нысанды атап, содан кейін оны бақылайтын команданы орындаңыз.
Үш нысан, үш бақылау
strongSwan жүктелген анықтаманы, IKE SA және CHILD SA ұстайды. Біріншісі — конфигурация, екіншісі — аутентификацияланған басқару қатынасы, үшіншісі — таңдалған трафик үшін келісілген қорғаныс. Олардың тіпті бөлек атаулары бар, сондықтан hq деп аталатын профиль hq-lan деп аталатын child-қа ие болуы мүмкін.
Кесте әр қабатты оны көрсететін командамен байланыстырады. Журналды оқымас бұрын жолды оқыңыз.
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
Child-ты сұрау, егер ол жоқ болса, алдымен оның ата-аналық IKE SA құрады. Тек IKE SA сұрау — басқа шақыру. Дұрыс аутентификацияланатын басқару арнасы сұралған child-қа кепілдік бермейді.
Бұл айырмашылық ішінара ақау кезінде маңызды. IKE SA сау болуы мүмкін, ал child селектор сәйкессіздігі немесе серіктес қабылдамайтын ұсыныс салдарынан сәтсіздікке ұшырайды. Екі нысан әртүрлі себептермен сәтсіздікке ұшырайды, сондықтан олар бөлек бақылауға лайық.
Іске қосу әрекетін әдейі таңдаңыз
swanctl.conf ішінде child-тың start_action параметрі жүктеуден кейінгі мінез-құлықты анықтайды. Әдепкі none мәні анықтаманы қолмен іске қосуға немесе responder ретінде пайдалануға қалдырады. start оны шақырады, ал trap сәйкес трафик пайда болған бойда келісетін саясатты қалдырады.
Сондықтан «жүктеу ешқашан туннельді іске қоспайды» және «жүктеу әрқашан оны іске қосады» деген екеуі де қате. Әрекет профильдің бөлігі және серіктестің рөліне сәйкес болуы керек. Екі шлюз де қарсы жақты күтсе, тыныштық пайда болады, туннель емес.
trap кезінде трафик селекторларға сәйкес болуы керек, сондықтан байланыссыз ping ештеңені оятпайды. start кезінде серіктес мекенжайы пайдалануға жарамды болуы керек және екі жақ аутентификация мен ұсыныстар туралы келісуі керек. Әрекеттердің ешқайсысы бұл шарттарды тексеруді алмастырмайды.
Қалпына келтіру — бөлек саясат
Іске қосу — keepalive емес. Өлі серіктесті анықтау, серіктестің анық жабуы, кілттерді жаңарту және процесті қайта іске қосу — өз баптаулары бар әртүрлі өмірлік цикл оқиғалары. Олардың әрқайсысын әдейі конфигурациялаңыз, бастапқы іске қосу олардың бәрін қамтиды деп күтпей-ақ.
Іске қосу кезінде көтеріліп, бір сағаттан кейін өлетін туннель — қалпына келтіру мәселесі. Іске қосу саясаты өз жұмысын атқарды, содан кейін маңызды болудан қалды. Бастапқы келіссөзді кінәламас бұрын DPD және кілттерді жаңарту баптауларын қараңыз.
Жүктелген анықтамаларды ауыстыру — бөлек операция. Стандартты емес іске қосу саясаттарының құжатталған кері әрекеттері бар, ал қайта жүктеу — операциялық өзгеріс, әр ассоциация орнында жаңартылды деп болжау емес. Қайта жүктеулерді қайта қосылу қолайлы кезеңдерде жасаңыз. Ескі конфигурацияны жаңасы дәлелденгенге дейін сақтаңыз.
Маршруттауды жөндеуге кіріспес бұрын не бар екенін тексеріңіз
Үш бақылауды ретімен орындаңыз: жүктелген анықтамалар, белсенді IKE SA және child жазбалары. Әр жауап келесі сұрақты тарылтады. Бір қадамды өткізіп алсаңыз, соңында ешқашан құрылмаған қабатты жөндейсіз.
Жүктелгеннен және шынымен орнатылғаннан бастаңыз:
swanctl --list-conns
swanctl --list-sasПрофиль дұрыс болса да child жоқ болса, оны аты бойынша іске қосып, не болатынын бақылаңыз. Шығыс әдетте ата-ана бірінші көтерілді ме, соны айтады.
swanctl --initiate --child hq-lanБелсенді CHILD SA — мәре сызығы емес. Жіберу ережелері, маршруттар және қосымшаның өз рұқсаттары әлі де сәйкесуі керек. Өмірлік цикл не келісілгенін жауаптайды; ол қызметті кімнің пайдалана алатынын шеше алмайды.