Біреуі көтерілген, нөл қосылып жатқан: сол strongSwan жолы нені санайды

Security Associations (1 up, 0 connecting) дейтін күй жолын оқысаңыз, ол бір жұмыс істеп тұрған туннель туралы есепке ұқсайды. Екі ішкі желі бір уақытта ол арқылы трафикті өткізіп жатыр, сондықтан сан өтірік айтып тұрғандай көрінеді. Ол өтірік айтпайды; ол IKE бірлестіктерін санайды, ал солардың біреуі бірнеше еншілесті қабылдай алады. Ұсынысқа немесе маршрутқа қол тигізбес бұрын тізімдемелерді оқыңыз.

Неліктен тақырып пен трафик сәйкеспейді

Ескі stroke шығысы өз қосындысын қауіпсіздік бірлестіктері деп атайды және оны IKE бірлестіктер менеджерінен алады. Әр орныққан IKE бірлестігі біреуін қосады, оның астында қанша CHILD SA болса да. Бір IKEv2 ата-анасы әдетте бірнеше еншілесті алып жүреді, әр трафик селекторлар жұбына біреу, ал еншілестің келісілген селекторлары бірнеше мекенжайды немесе префиксті қамтуы мүмкін. Сондықтан конфигурацияңыздағы мекенжайлар санының тақырыптағы санмен тұрақты байланысы жоқ.

Заманауи шығыс кейде ескі “up” тұжырымының орнына қосынды көрсетеді, ал swanctl басқаратын демон ескі stroke параметрлерімен мүлде басқарылмайды. Нұсқалар арасында не тұжырымды, не санау ережесін болжамаңыз.

Бірдеңені өзгертуден бұрын үш тізімдемені салыстырыңыз

Жүктелгеннен бастаңыз, содан кейін келісілгеннен, содан кейін шын мәнінде пакеттерді жылжытатыннан. Бұл үш түрлі сұрақ және әрқайсысының өз командасы бар.

swanctl --list-conns
swanctl --list-sas

Біріншісі демон қабылдаған байланыс анықтамаларын тізімдейді. Екіншісі орныққан IKE бірлестіктерін еншілестерімен тізімдейді, нақты иерархия сонда көрінеді. Файлда бар, бірақ бірінші тізімде жоқ анықтама ешқашан жүктелмеген, және бастаушының қанша қайталап көруі де оны түзетпейді. Оның орнына ескі интерфейсті іске қоссаңыз, балама жұп ipsec statusall және сол swanctl тізімі, конфигурация қай плагинге тиесілі екеніне байланысты. Бір хосттағы екі демон арасында құралдарды араластырмаңыз және біртұтас жауап күтпеңіз.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Шикі пішін идентификаторлар мен селекторларды салыстыру үшін көрінетін күйде ұстайды, ал ядро күйінің тізімі стек нені орнатты деп есептейтінін көрсетеді. Демон мен ядро келіспегенде, не демон бар еншілестің айналасында қайта іске қосылған, не ядро нысаны оның астынан жойылған.

Иерархияны оқыңыз, қосындыны емес

Екі еншілесі бар үлгілі орныққан ата-ана астында екі еншілесі бар бір түйінге ұқсайды, әрқайсысы өз күйімен және режимімен белгіленген. Біреудің тақтадан қойған қорытындысын оқудың орнына нақты шығысты шығарып, еншілестерді өзіңіз санаңыз.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Екі орнатылған еншілесі бар бір ата-ана — сау екі ішкі желілі туннель. Бір орнатылған және бір жоқ еншілесі бар ата-ана басқа жағдай, ал жоқ еншілестің селекторлары алыс жақтың ұсынысымен салыстырылатын нәрсе. Кілттерді жаңарту кезінде ескі еншілес және оның орнын басушы қысқа уақыт бірге көрінуі мүмкін. Уақыт белгісін суретпен бірге сақтаңыз, өйткені жаңартудың ортасында алынған санақ қайталауға ұқсайды, ал одан кейін алынғаны жоғалтуға ұқсайды.

Жүктелген, орнатылған және өтіп жатқан трафик

Орнатылған күйдегі еншілестің келісілген параметрлері және ядрода жазбасы бар. Бірақ ол міндетті түрде пакет тасымаған жоқ: селекторлар күткен трафиктен тарырақ болуы мүмкін, ал маршрут бұл трафикті туннель көрмей тұрып басқа жерге жіберуі мүмкін. Уәкілетті хосттан келісілген селекторларға сәйкес ағынды жіберіңіз, содан кейін тақырыптың орнына еншілестің санағыштарын оқыңыз. Сәйкес трафик жасап жатқанда нөлде тұрған санағыш IKE-ге емес, маршруттауға немесе саясатқа нұсқайды.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Аталған еншілесті бастау көрінетін нәтижесі бар әдейі әрекет, және ол “байланыс ешкім сұрамағандықтан бос” дегенді “байланыс көтеріле алмайды” дегеннен ажыратады. Сұраныс бойынша тұзақ саясаты дәл бірінші жағдай сияқты әрекет етеді, сондықтан оны ақау деп атамас бұрын байланыстың бастау параметрін оқыңыз.

Санақ шынымен қате болғанда

Егер анықтама жүктелген тізімдемеде жоқ болса, конфигурацияның жүктелуіне және қай демон данасы жұмыс істеп тұрғанына қараңыз. Егер ол жүктелген, бірақ ешқашан келісімге келмесе, ұсыныстарды, аутентификация контекстін және селекторларды серіктеспен салыстырыңыз, әр жолы бір еншілестен. Әр әрекетте бір элементті өзгертіп, өзгерткен идентификаторыңызды жазып қойыңыз. Ұсынысты кері қайтару қайсысы екенін білсеңіз оңай; ешқашан бөлінбеген үш өңдеуден кейін бұл болжам.

Алдымен қате оқуды түзетіңіз. “Жоғалған” екінші туннель туралы есептердің көбі бір ата-ананың астында екі орнатылған еншілеспен аяқталады, ал бұзылған жалғыз нәрсе адамдар иерархияның орнына сенген қорытынды жолы еді.