ipsec.conf oder swanctl.conf? Wielt eng strongSwan-Frontend

En funktionéierenden IKEv1-Profil aus engem eelere Guide landt op Ubuntu 24.04, an den éischten Versuch feelt, well den Daemon d'Datei ni gelies huet. Déi gewéinlech Reaktioun ass, de Profil nach eng Kéier z'änneren. Déi richteg Fro ass, wéi eng strongSwan-Frontend installéiert ass a wéi eng de lafenden Service benotzt. Bis dat gekläert ass, zielt all Ännerung op e Loader, deen et vläicht net gëtt.

Zwee Dateien, zwee Loader, een Daemon

Déi al Starter-Anordnung liest ipsec.conf an iwwergëtt Verbindungen un charon iwwer seng al Verwaltungsintegratioun. Hire betrieblechen Entrée ass den ipsec-Befehl.

D'swanctl-Anordnung lued Definitiounen iwwer VICI, liest swanctl.conf an gëtt vum swanctl-Befehl gesteiert. Den systemd-native charon-Daemon integréiert sech mat dësem Approche.

Beid kënnen op der selwechter Maschinn installéiert sinn, an do fänkt d'Verwirrung un. Eng Datei ënner /etc beweist just, datt een se geschriwwen huet, net datt de lafende Prozess se gelueden huet. All Alternativ installéieren, fir ze gesinn wéi eng funktionéiert, schaaft en Host mat zwee Verwaltungsweeër an ouni kloeren Eegentemer. Wielt eng Anordnung a läscht oder deaktivéiert déi aner.

Liest déi installéiert Paketen an Unitéiten

Fänkt am nëmme-Lies-Modus un. D'Paketsnimm op Ubuntu 24.04 sinn getrennt: strongswan-starter, strongswan-swanctl an charon-systemd. E fehlende Paket ass nëtzlech Informatioun, keng Uweisung en z'installéieren.

Inventariséiert d'Paketen an d'Unitéiten an engem Passage:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Kuckt duerno déi aktiv Unitéit an hire Startbefehl un. Den Numm vun der Unitéit seet, wéi en Daemon d'Konfiguratioun besëtzt, an d'Befehlszeil bestätegt, wéi eng Dateien him gesot gouf ze liesen. Eng Unitéit, déi aktivéiert awer inaktiv ass, erzielt eng aner Geschicht wéi déi, déi just leeft.

Wann déi aktiv Unitéit strongswan-starter ass, ass ipsec.conf d'Datei déi zielt. Wann et charon-systemd mat swanctl ass, ass ipsec.conf just Dekoratioun.

Benotzt de passenden Kontrollwee

All Frontend huet seng eege Vue vun de Verbindungen an Associatiounen. swanctl --list-conns weist gelueden Definitiounen a swanctl --list-sas weist aktiv Associatiounen. Den ale Wee benotzt ipsec statusall.

Si ze vermëschen erzeugt irreführend Feeler. E fehlende VICI-Socket oder eng ofgeleent Kontrollufro ass e Problem vum Verwaltungswee, net de Beweis, datt de Partner d'Authentifikatioun ofgeleent huet.

Liest d'Vue déi zum lafenden Daemon gehéiert, an interpretéiert duerno d'Resultat. Wann d'Verbindung an där Vue fehlt, ass de Problem d'Lueden, net d'Verhandlung.

Format ass net d'IKE-Versioun

En ale Profil wielt IKEv1 mam keyexchange=ikev1. Eng swanctl-Verbindung benotzt eng Versiounsastellung, wou 1 IKEv1 auswielt. Dat sinn zwee Vokabulären fir déi selwecht Iddi, keng Ëmwandlung.

D'Adresse vum Partner, lokal an distanzt Identitéiten, Quellen vun den Umeldungsdaten, Virschléi an child-Selektoren mussen bewosst zougeuerdnet ginn. E left/right-Block an d'swanctl-Syntax ze pechen mécht dovunner näischt.

Nëmmen d'Protokollversioun z'änneren ass déi heefegst hallef Migratioun. Si erzeugt eng Datei, déi lued an duerno d'Authentifikatioun verfehlt, aus Grënn déi näischt mat der Versioun ze dinn hunn. IKEv1 selwer ass duerch RFC 9395 veraltert, dofir verdéngt en existente Partner, deen et nach verlaangt, eng dokumentéiert Kompatibilitéitsbeschränkung an e Migratiounswee, net en neien Standardwert.

Préift de Loader ier Dir de Profil beréiert

Führt fir d'éischt d'Loader-Préifung aus, lued dann déi geduecht Verbindung, bewäert dann d'Verhandlung an zum Schluss de Wee vum geschützte Verkéier. All Etapp huet eng aner Feelersignatur.

Déi zwee Kontrollweeër beäntweren d'Luedfro direkt:

swanctl --list-conns
ipsec statusall

Nëmmen ee vun dëse Befehle gehéiert zu Ärem Host. Beid auszeféieren an d'Ausgab ze vergläichen ass e Wee fir erauszefannen wien Iech belügt, keng Diagnosemethod.

Behandelt Paketbesëtz, Konfiguratiounslueden a Protokollkompatibilitéit als dräi getrennte Froen. Eng Datei, déi fir eng Frontend valabel ass, gëtt soss nach an nach geännert, wärend en aneren Daemon leeft.