ipsec.conf же swanctl.conf? Бир strongSwan интерфейсин тандаңыз

Эски колдонмодон алынган иштеген IKEv1 профили Ubuntu 24.04кө түшөт, биринчи аракет ийгиликсиз болот, анткени демон файлды такыр окуган эмес. Кадимки жооп — профилди кайра оңдоо. Чыныгы суроо: кайсы strongSwan интерфейси орнотулган жана иштеп жаткан кызмат кайсынысын колдонот. Бул жооп берилмейинче, ар бир оңдоо болбушу мүмкүн болгон жүктөөчүгө багытталат.

Эки файл, эки жүктөөчү, бир демон

Эски starter конфигурациясы ipsec.conf файлын окуп, байланыштарды өзүнүн эски башкаруу интеграциясы аркылуу charonго өткөрөт. Анын операциялык кирүү чекити — ipsec буйругу.

swanctl конфигурациясы аныктамаларды VICI аркылуу жүктөйт, swanctl.conf файлын окуйт жана swanctl буйругу менен башкарылат. systemdге түпкү charon демону ушул ыкма менен интеграцияланат.

Экөө тең бир машинага орнотулушу мүмкүн, чаташуу ушундан башталат. /etc астындагы файл аны кимдир бирөө жазганын гана далилдейт, иштеп жаткан процесс аны жүктөгөнүн эмес. Кайсы иштей турганын көрүү үчүн бардык альтернативаны орнотуу эки башкаруу жолу бар жана ээси так эмес хост жаратат. Бир конфигурацияны тандап, экинчисин алып салыңыз же өчүрүңүз.

Орнотулган пакеттерди жана unitтерди окуңуз

Тек окуу режиминен баштаңыз. Ubuntu 24.04тө пакет аттары өзүнчө: strongswan-starter, strongswan-swanctl жана charon-systemd. Жок пакет — пайдалуу маалымат, аны орнотуу жөнүндө буйрук эмес.

Пакеттерди жана unitтерди бир өтүүдө тизмектеңиз:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Андан кийин активдүү unitти жана анын иштетүү буйругун караңыз. Unitтин аты конфигурация кайсы демонго таандык экенин айтат, буйрук сабы ага кайсы файлдарды окуу тапшырылганын ырастайт. Күйгүзүлгөн, бирок активдүү эмес unit азыр иштеп жаткандан башка окуяны айтат.

Активдүү unit strongswan-starter болсо, маанилүү файл — ipsec.conf. Эгер swanctl менен charon-systemd болсо, ipsec.conf жөн гана кооздук.

Туура келген башкаруу жолун колдонуңуз

Ар бир интерфейстин байланыштар жана ассоциациялар боюнча өз көз карашы бар. swanctl --list-conns жүктөлгөн аныктамаларды, swanctl --list-sas активдүү ассоциацияларды көрсөтөт. Эски жол ipsec statusall колдонот.

Аларды аралаштыруу адаштыруучу каталарды жаратат. VICI сокетинин жоктугу же башкаруу суранычынын четке кагылышы — башкаруу жолунун көйгөйү, өнөктөш аутентификацияны четке какты деген далил эмес.

Иштеп жаткан демонго таандык көрүнүштү окуңуз, андан кийин жыйынтыкты чечмелеңиз. Эгер байланыш ошол көрүнүштө жок болсо, көйгөй жүктөөдө, сүйлөшүүдө эмес.

Формат — IKE версиясы эмес

Эски профиль IKEv1ди keyexchange=ikev1 аркылуу тандайт. swanctl байланышы версия жөндөөсүн колдонот, анда 1 IKEv1ди тандайт. Булар бир идеянын эки сөздүгү, айландыруу эмес.

Өнөктөштүн даректери, жергиликтүү жана алыскы инсандыктар, күбөлүк булактары, сунуштар жана child селекторлору атайын шайкештирилиши керек. left/right блогун swanctl синтаксисине чаптоо булардын эч бирин жасабайт.

Протокол версиясын гана өзгөртүү — эң кеңири тараган жарым көчүү. Ал жүктөлгөн, андан кийин версияга тиешеси жок себептерден аутентификациядан өтпөгөн файл жаратат. IKEv1 өзү RFC 9395 менен эскирген, ошондуктан аны али талап кылган учурдагы өнөктөш документтелген шайкештик чектөөсүнө жана көчүү жолуна татыктуу, жаңы демейкиге эмес.

Профилге тийүүдөн мурун жүктөөчүнү текшериңиз

Алгач жүктөөчү текшерүүсүн аткарыңыз, анан көздөлгөн байланышты жүктөңүз, анан сүйлөшүүнү, акырында корголгон трафик жолун баалаңыз. Ар бир баскычтын ийгиликсиздик белгиси башка.

Эки башкаруу жолу жүктөө суроосуна түз жооп берет:

swanctl --list-conns
ipsec statusall

Бул буйруктардын бири гана сиздин хостко таандык. Экөөнү тең иштетип, чыгууну салыштыруу кайсы сизге калп айтып жатканын табуу жолу, диагностика ыкмасы эмес.

Пакет ээлигин, конфигурацияны жүктөөнү жана протокол шайкештигин үч өзүнчө суроо катары караңыз. Бир интерфейске жарактуу файл антпесе кайра-кайра оңдолот, ал эми башка демон иштеп турат.