En geluede strongSwan-Profil ass keen aktiven Tunnel
strongSwan luedt Definitiounen a verhandelt duerno IKE an CHILD SA. Datt e Profil geluede ass, seet näischt doriwwer aus, ob en Tunnel existéiert oder wien en ufänkt.
Eng Verbindung an der strongSwan-Konfiguratioun opzelischten beweist just, datt eng Definitioun geluede gouf. Et heescht net, datt de Peer kontaktéiert gouf, datt eng IKE SA existéiert oder datt iergendee Verkéier geschützt ass. Den Daemon behandelt Definitiounen an aktiv Associatiounen als getrennten Objeten, an den Ofstand tëschent hinne ass eng bewosst Designentscheedung. Ze wëssen, wéi en Objet Dir iwwerpréift, mécht aus engem vagem Feeler ene konkrete nächsten Uerder.
Lueden ass net Verbannen
Eng geluede Verbindung ass eng Ausso doriwwer, wat spéider verhandelt ka ginn: Peeradressen, Umeldungsdaten, Virschléi an Trafikselektoren. Nichts an där Ausso verlaangt, datt den Daemon engem telefonséiert huet. En Gateway kann op déi aner Säit waarden, beim Start selwer initiéieren oder waarden, datt e passende Verkéier en opweckt. All dräi si gülteg, an all dräi gesinn an der Konfiguratiounsdatei gläich aus, bis Dir d'Startpolitik liest.
Bedreiwer geroden a Problemer, wann se d'Lëscht vun den Definitiounen als Statuslëscht liesen. De Profil ass do, also gëtt ugeholl, datt den Tunnel steet, an déi nächst Stonn geet an d'Debugge vu Weeër fir eng Associatioun, déi ni gebaut gouf.
De géigendeel Feeler ass just esou heefeg. E feelende Profil schéckt d'Leit op d'Sich no engem Netzwierkfeeler, wärend d'Konfiguratioun ni geluede gouf. Nennt den Objet an da fuert den Uerder aus, deen en observéiert.
Dräi Objeten, dräi Observatiounen
strongSwan hält eng geluede Definitioun, eng IKE SA an eng CHILD SA. Déi éischt ass Konfiguratioun, déi zweet eng authentifizéiert Kontrollbezéiung, an déi drëtt ass verhandelte Schutz fir ausgewielte Verkéier. Si hu souguer getrennt Nimm, also kann e Profil mam Numm hq eng child mam Numm hq-lan besëtzen.
D'Tabell verbënnt all Schicht mam Uerder, deen se weist. Liest d'Rei, ier Dir de Log liest.
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
D'Ufro vun der child baut fir d'éischt hir Elteren-IKE SA op, wann et keng gëtt. Nëmmen d'IKE SA ufroen ass en aneren Opruff. En Kontrollkanal, dee proper authentifizéiert, garantéiert net déi child, déi Dir ugefrot hutt.
Dee Ënnerscheed ass wichteg bei engem deelweisen Ausfall. Eng IKE SA kann gesond sinn, wärend d'child op enger Selektoren-Onstëmmegkeet oder engem Virschlag feelt, deen de Peer net akzeptéiert. Déi zwou Objete feele aus verschiddene Grënn, dofir verdéngen se getrennt Observatiounen.
Wielt d'Startaktivitéit bewosst
An swanctl.conf entscheet d'start_action vun enger child iwwer d'Verhalen no dem Lueden. Den Default none léisst d'Definitioun fir manuell Initiéierung oder Notzung als Responder. start rifft se un, wärend trap eng Politik hannerléisst, déi verhandelt, soubal passende Verkéier opdaucht.
Also si souwuel «Lueden startet ni en Tunnel» wéi och «Lueden startet ëmmer een» falsch. D'Aktivitéit ass Deel vum Profil an soll zur Roll vum Peer passen. Zwee Gateways, déi allebéid op déi aner Säit waarden, produzéieren Stille, keen Tunnel.
Mat trap muss de Verkéier zu de Selektoren passen, also wäert en onverwanden Ping näischt opwecken. Mat start muss d'Peeradress brauchbar sinn an déi zwou Säite mussen sech iwwer Authentifizéierung a Virschléi eens ginn. Keng vun den Aktivitéiten ersetzt d'Préifung vun dëse Konditiounen.
Restauratioun ass eng getrennt Politik
Den Start ass keen keepalive. Erkennung vun engem doudege Peer, explizit Zoumaache vum Peer, Schlësselerneierung an e Prozessneistart sinn ënnerschiddlech Evenementer am Liewenszyklus mat hirem eegene Parameter. Konfiguréiert all eenzel bewosst, amplaz ze erwaarden, datt en initiale Start se all ofdeckt.
En Tunnel, deen beim Boot eropkënnt an eng Stonn méi spéit stierft, ass eng Fro vun der Restauratioun. D'Startpolitik huet hir Aarbecht gemaach an huet duerno opgehalen ze zielen. Kuckt d'DPD- an d'Schlësselerneierungsastellungen, ier Dir déi initial Verhandlung beschëllegt.
Geluede Definitiounen ze ersetzen ass eng eege Operatioun. Net-Standard-Startpolitike hunn dokumentéiert Géigemoossnamen, an e Nei-Lueden ass eng operationell Ännerung an net d'Annam, datt all Associatioun op der Plaz aktualiséiert gouf. Maacht Nei-Lueden a Etappen, wou eng Reconnectsioun akzeptabel ass. Hält déi al Konfiguratioun, bis déi nei bewisen ass.
Préift, wat existéiert, ier Dir Routing debugg
Féiert déi dräi Observatiounen an der Rei aus: geluede Definitiounen, aktiv IKE SA an Andräg vun der child. All Äntwert enkelt déi nächst Fro an. Iwwerspréngt ee Schrëtt an Dir debugg Schlussendlech eng Schicht, déi ni gebaut gouf.
Fänkt mat deem un, wat gelueden ass an wat wierklech etabléiert ass:
swanctl --list-conns
swanctl --list-sasWann d'child feelt, wärend de Profil korrekt ass, initiéiert se mam Numm a kuckt, wat geschitt. D'Ausgab seet meeschtens, ob den Elteren als éischten eropgaangen ass.
swanctl --initiate --child hq-lanEng aktiv CHILD SA ass net d'Arrivée. Weiderleeungsregelen, Weeër an d'Autorisatioun vun der Applikatioun selwer musse sech nach decken. Den Liewenszyklus äntwert drop, wat verhandelt gouf; en kann net entscheeden, wien den Déngscht benotze däerf.