Жүктөлгөн strongSwan профили активдүү туннель эмес
strongSwan аныктамаларды жүктөп, андан кийин IKE жана CHILD SA келишет. Профилдин жүктөлүшү туннелдин бар-жогун же аны ким баштаарын билдирбейт.
strongSwan конфигурациясында туташууну тизмелөө аныктаманын жүктөлгөнүн гана далилдейт. Бул өнөктөш менен байланышканын, IKE SA бар экенин же кандайдыр бир трафиктин корголгонун билдирбейт. Демон аныктамаларды жана тирүү ассоциацияларды өзүнчө объектилер катары карайт, ал эми алардын ортосундагы аралык — атайын долбоордук чечим. Кайсы объектини текшерип жатканыңызды билүү бүдөмүк бузулууну так кийинки командага айландырат.
Жүктөө — бул туташуу эмес
Жүктөлгөн туташуу кийинчерээк эмнелерди келишип алууга болорун билдирген билдирүү: өнөктөштүн дареги, каттоо маалыматтары, сунуштар жана трафик селекторлору. Бул билдирүүдө демондун бирөөгө чалганын талап кылган эч нерсе жок. Шлюз каршы тарапты күтүшү, иштетүү учурунда демилге көтөрүшү же ылайыктуу трафик ойготушун күтүшү мүмкүн. Үчөө тең жарактуу жана үчөө тең иштетүү саясатын окуганга чейин конфигурация файлында бирдей көрүнөт.
Операторлар аныктамалардын тизмесин статус тизмеси катары окуп, кыйынчылыкка туш болушат. Профиль бар, ошондуктан туннель көтөрүлдү деп эсептелет, ал эми кийинки саат эч качан курулбаган ассоциациянын маршруттарын оңдоого кетет.
Кайсы терс ката да ошончолук кеңири таралган. Жок профиль адамдарды конфигурация эч качан жүктөлбөсө да, тармактык бузулууну издеп жөнөтөт. Объектини атап, андан кийин аны байкоочу команданы аткарыңыз.
Үч объект, үч байкоо
strongSwan жүктөлгөн аныктаманы, IKE SA жана CHILD SA кармайт. Биринчиси — конфигурация, экинчиси — аутентификацияланган башкаруу мамилеси, үчүнчүсү — тандалган трафик үчүн келишилген коргоо. Алардын ал тургай өзүнчө аттары бар, ошондуктан hq деп аталган профиль hq-lan деп аталган child-га ээ болушу мүмкүн.
Таблица ар бир катмарды аны көрсөткөн команда менен байланыштырат. Журналды окуудан мурун сапты окуңуз.
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
Child-ды суроо, эгер ал жок болсо, адегенде анын ата-энелик IKE SA курат. Бир гана IKE SA суроо — башка чакыруу. Туура аутентификацияланган башкаруу каналы суралган child-га кепилдик бербейт.
Бул айырмачылык жарым-жартылай бузулуу учурунда маанилүү. IKE SA соо болушу мүмкүн, ал эми child селектордун дал келбестигинен же өнөктөш кабыл албаган сунуштан улам ишке ашпайт. Эки объект ар кандай себептерден улам ишке ашпайт, ошондуктан алар өзүнчө байкоолорго татыктуу.
Иштетүү аракетин атайын тандаңыз
swanctl.conf ичинде child-дын start_action параметри жүктөөдөн кийинки жүрүм-турумду аныктайт. Демейки none мааниси аныктаманы кол менен иштетүүгө же responder катары колдонууга калтырат. start аны чакырат, ал эми trap ылайыктуу трафик пайда болушу менен келишип алуучу саясатты калтырат.
Ошондуктан «жүктөө эч качан туннелди иштетпейт» жана «жүктөө ар дайым аны иштетет» деген экөө тең туура эмес. Аракет профилдин бөлүгү жана өнөктөштүн ролуна туура келиши керек. Эки шлюз тең каршы тарапты күтсө, тынчтык пайда болот, туннель эмес.
trap учурунда трафик селекторлорго туура келиши керек, ошондуктан байланышсыз ping эч нерсени ойготпойт. start учурунда өнөктөштүн дареги колдонууга жарактуу болушу керек жана эки тарап аутентификация менен сунуштар боюнча макулдашы керек. Аракеттердин эч бири бул шарттарды текшерүүнү алмаштырбайт.
Калыбына келтирүү — өзүнчө саясат
Иштетүү — keepalive эмес. Өлүк өнөктөштү аныктоо, өнөктөштүн ачык жабышы, ачкычтарды жаңыртуу жана процессти кайра иштетүү — өз жөндөөлөрү бар ар кандай жашоо циклиндеги окуялар. Алардын ар бирин атайын конфигурациялаңыз, баштапкы иштетүү алардын баарын камтыйт деп күтпөстөн.
Иштетүү учурунда көтөрүлүп, бир сааттан кийин өлгөн туннель — калыбына келтирүү маселеси. Иштетүү саясаты өз ишин аткарды, андан кийин маанилүү болбой калды. Баштапкы сүйлөшүүнү күнөөлөөдөн мурун DPD жана ачкычтарды жаңыртуу жөндөөлөрүн караңыз.
Жүктөлгөн аныктамаларды алмаштыруу — өзүнчө операция. Стандарттык эмес иштетүү саясаттарынын документтелген кайтарым аракеттери бар, ал эми кайра жүктөө — операциялык өзгөрүү, ар бир ассоциация ордунда жаңыртылды деп болжолдоо эмес. Кайра жүктөөлөрдү кайра туташуу кабыл алынган баскычтарда жасаңыз. Эски конфигурацияны жаңысы далилденгенге чейин сактаңыз.
Маршруттоону оңдоодон мурун эмне бар экенин текшериңиз
Үч байкоону ирети менен аткарыңыз: жүктөлгөн аныктамалар, активдүү IKE SA жана child жазуулары. Ар бир жооп кийинки суроону тарытат. Бир кадамды өткөрүп жиберсеңиз, акырында эч качан курулбаган катмарды оңдойсуз.
Жүктөлгөн жана чынында орнотулган нерселерден баштаңыз:
swanctl --list-conns
swanctl --list-sasПрофиль туура болсо да child жок болсо, аны аты боюнча иштетип, эмне болорун байкаңыз. Чыгарылыш адатта ата-эне биринчи көтөрүлдүбү, ошону айтат.
swanctl --initiate --child hq-lanАктивдүү CHILD SA — бул финиш сызыгы эмес. Жөнөтүү эрежелери, маршруттар жана колдонмонун өз уруксаттары дагы эле дал келиши керек. Жашоо цикли эмне келишилгенин жооп берет; ал кызматты ким колдоно аларын чече албайт.