Бири көтөрүлгөн, нөл туташып жатат: ал strongSwan сабы эмнени санайт

Security Associations (1 up, 0 connecting) деген абал сабын окусаңыз, ал бир иштеп жаткан туннелдин отчётуна окшош. Эки ички тармак бир убакта анын ичинен трафикти өткөрүп жатат, ошондуктан сан жалган айтып жаткандай көрүнөт. Ал жалган айтпайт; ал IKE бирикмелерин санайт, алардын бири бир нече баланы кармай алат. Сунушка же маршрутка тийүүдөн мурун тизмелерди окуңуз.

Эмне үчүн аталыш менен трафик дал келбейт

Эски stroke чыгарылышы өз жыйындысын коопсуздук бирикмелери деп атайт жана аны IKE бирикмелеринин менеджеринен алат. Ар бир түзүлгөн IKE бирикмеси бирди кошот, анын астында канча CHILD SA болсо да. Бир IKEv2 ата-энеси адатта бир нече баланы алып жүрөт, ар бир трафик селектор жубуна бирден, ал эми баланын келишилген селекторлору бирден ашык даректи же префиксти камтый алат. Ошондуктан конфигурацияңыздагы даректердин санынын аталыштагы сан менен туруктуу байланышы жок.

Заманбап чыгарылыш кээде эски “up” сөзүнүн ордуна жыйынды көрсөтөт, ал эми swanctl башкарган демон эски stroke жөндөөлөрү менен такыр башкарылбайт. Версиялар арасында не сөз айкашын, не саноо эрежесин болжолдобоңуз.

Бир нерсени өзгөртүүдөн мурун үч тизмени салыштырыңыз

Жүктөлгөндөн баштаңыз, анан келишилгенден, анан чындап пакеттерди жылдыргандан. Бул үч башка суроо жана ар биринин өз буйругу бар.

swanctl --list-conns
swanctl --list-sas

Биринчиси демон кабыл алган байланыш аныктамаларын тизмелейт. Экинчиси түзүлгөн IKE бирикмелерин балдары менен тизмелейт, чыныгы иерархия ошол жерде көрүнөт. Файлда бар, бирок биринчи тизмеде жок аныктама эч качан жүктөлгөн эмес, жана баштоочунун канча жолу кайталап көрүшү да аны оңдобойт. Эгер анын ордуна эски интерфейсти иштетсеңиз, барабар жуп ipsec statusall жана ошол эле swanctl тизмеси, конфигурация кайсы плагинге таандык экенине жараша. Бир хосттогу эки демондун ортосунда куралдарды аралаштырбаңыз жана бир бүтүн жооп күтпөңүз.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Чийки форма идентификаторлорду жана селекторлорду салыштыруу үчүн көрүнүктүү кармайт, ал эми ядронун абал тизмеси стек эмнени орнотту деп эсептешин көрсөтөт. Демон менен ядро макул болбосо, же демон бар баланын айланасында кайра башталган, же ядро объектиси анын астынан алынган.

Иерархияны окуңуз, жыйынды эмес

Эки баласы бар үлгүлүү түзүлгөн ата-эне астында эки баласы бар бир түйүнгө окшош, ар бири өз абалы жана режими менен белгиленген. Бирөөнүн панелден койгон кыскача корутундусун окуунун ордуна чыныгы чыгарылышты чыгарып, балдарды өзүңүз санаңыз.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Эки орнотулган баласы бар бир ата-эне — соо эки ички тармактуу туннел. Бир орнотулган жана бир жок баласы бар ата-эне башка жагдай, ал эми жок баланын селекторлору алыскы тараптын сунушу менен салыштырылуучу нерсе. Ачкычтарды жаңыртуу учурунда эски бала жана анын ордун басуучу кыска убакытка чогуу көрүнүшү мүмкүн. Убакыт белгисин сүрөт менен кошо сактаңыз, анткени жаңыртуунун ортосунда алынган саноо кайталоого окшош, ал эми андан кийинкиси жоготууга окшош.

Жүктөлгөн, орнотулган жана өтүп жаткан трафик

Орнотулган абалдагы баланын келишилген параметрлери жана ядродо жазуусу бар. Бирок ал сөзсүз пакет ташыган эмес: селекторлор күтүлгөн трафиктен тарраак болушу мүмкүн, ал эми маршрут бул трафикти туннель көрө электе эле башка жакка жибериши мүмкүн. Ыйгарым укуктуу хосттон келишилген селекторлорго дал келген агымды жибериңиз, анан аталыштын ордуна баланын эсептегичтерин окуңуз. Дал келген трафик жаратып жатканда нөлдө турган эсептегич IKEге эмес, маршруттоого же саясатка көрсөтөт.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Аталган баланы баштоо көрүнүктүү натыйжасы бар атайын аракет, жана ал “байланыш эч ким сурабагандыктан бош” дегенди “байланыш көтөрүлө албайт” дегенден ажыратат. Суроо боюнча тузак саясаты так биринчи учурдагыдай жүрүм-турум кылат, ошондуктан аны бузулуу деп атоодон мурун байланыштын баштоо жөндөөсүн окуңуз.

Санак чындап туура эмес болгондо

Эгер аныктама жүктөлгөн тизмеде жок болсо, конфигурациянын жүктөлүшүнө жана кайсы демон нускасы иштеп жатканына караңыз. Эгер ал жүктөлгөн, бирок эч качан келишпесе, сунуштарды, аутентификация контекстин жана селекторлорду өнөктөш менен салыштырыңыз, ар жолу бир баладан. Ар бир аракетте бир элементти өзгөртүп, өзгөрткөн идентификаторуңузду жазып коюңуз. Кайсы экенин билсеңиз, сунушту артка кайтаруу оңой; эч качан бөлүнбөгөн үч оңдоодон кийин бул божомол.

Адегенде туура эмес окууну оңдоңуз. “Жоголгон” экинчи туннель тууралуу отчёттордун көбү бир ата-эненин астында эки орнотулган бала менен бүтөт, ал эми бузулган жалгыз нерсе адамдар иерархиянын ордуна ишенген корутунду сабы эле.