Eent uewen, null verbannen: wat déi strongSwan-Zeil zielt

Liest eng Statuszeil déi Security Associations (1 up, 0 connecting) seet, an et gesäit aus wéi e Bericht iwwer een Tunnel dee funktionéiert. Zwee Subnetzer schécken zur selwechter Zäit Traffic doduerch, dofir gesäit d’Zuel aus wéi wann se lügt. Se lügt net; se zielt IKE-Verbindungen, an eng dovun kann e puer Kanner ënnerbréngen. Liest d’Inventairen ier Dir eng Propositioun oder eng Route beréiert.

Firwat d’Iwwerschrift an den Traffic net iwwerenee stëmmen

Déi al stroke-Ausgab nennt seng Total Sécherheetsverbindungen an zitt se aus dem IKE-Verbindungsmanager. All etabléiert IKE-Verbindung dréit eng bäi, egal wéi vill CHILD SA dorënner sinn. Een eenzegen IKEv2-Elterendeel dréit meeschtens e puer Kanner, ee pro Traffic-Selektor-Puer, an d’ausgehandelt Selektore vun engem Kand kënnen méi wéi eng Adress oder ee Prefix decken. D’Zuel vun den Adressen an Ärer Konfiguratioun huet dofir keng fest Relatioun mat der Zuel an der Iwwerschrift.

Modern Ausgabe weist heiansdo eng Total amplaz vun der aler Formuléierung “up”, an en Daemon dee vu swanctl geréiert gëtt, gëtt guer net vun ale stroke-Astellunge gesteiert. Huelt weder d’Formuléierung nach d’Zählregel iwwer Versioune fir fest.

Vergläicht dräi Inventairen ier Dir eppes ännert

Fänkt mat deem un wat gelueden ass, duerno mat deem wat ausgehandelt ass, duerno mat deem wat tatsächlech Pakete beweegt. Dat sinn dräi verschidde Froen an all huet säin eegene Befehl.

swanctl --list-conns
swanctl --list-sas

Déi éischt zielt d’Verbindungsdefinitiounen op déi den Daemon akzeptéiert huet. Déi zweet zielt etabléiert IKE-Verbindungen mat hire Kanner op, an do erschéngt déi richteg Hierarchie. Eng Definitioun déi an enger Datei steet awer an der éischter Lëscht feelt, gouf ni gelueden, a keng Zuel vu Widderhuelunge vum Initiator wäert dat reparéieren. Wann Dir amplaz déi al Interface bedreift, ass dat entspriechend Puer ipsec statusall an déiselwecht swanctl-Lëscht, jee no deem wéi e Plug-in d’Konfiguratioun besëtzt. Mëscht keng Instrumenter tëscht zwee Daemone op engem Host a waart net op eng eenzeg kohärent Äntwert.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Déi ro Form hält Identifikatoren a Selektoren sichtbar fir de Verglach, an d’Kernel-Zoustänn-Lëscht weist wat de Stack mengt installéiert ze hunn. Wann den Daemon an de Kernel net iwwerenee stëmmen, ass entweder den Daemon ronderëm e bestoeënd Kand nei gestart oder d’Kernelobjekt gouf drënner ewechgeholl.

Liest d’Hierarchie, net d’Total

En illustrativen etabléierten Elterendeel mat zwee Kanner gesäit aus wéi een Knoten mat zwee Kanner drënner, jiddereen mat sengem eegene Zoustand a Modus etikettéiert. Dumpt déi tatsächlech Ausgab a zielt d’Kanner selwer amplaz eng Zesummefaassung ze liesen déi een aus engem Dashboard agefüügt huet.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Een Elterendeel mat zwee installéierte Kanner ass en gesonden Tunnel fir zwee Subnetzer. Een Elterendeel mat engem installéierten an engem fehlende Kand ass eng aner Situatioun, an d’Selektore vum fehlende Kand sinn dat wat mat der Propositioun vun der wäiter Säit ze vergläiche ass. Wärend enger Schlësselerneierung kënnen en aalt Kand a seng Ersatz kuerz Zäit zesummen erschéngen. Halt den Zäitstempel bei der Momentopnam, well eng Zielung mëtt an der Erneierung gesäit aus wéi eng Duplikatioun an eng duerno wéi e Verloscht.

Gelueden, installéiert an Traffic deen duerchgeet

E Kand am installéierten Zoustand huet ausgehandelt Parameteren an en Kernel-Antrag. Awer et huet net onbedéngt e Paket gedroen: Selektore kënne méi schmuel sinn wéi den erwaarten Traffic, an eng Route kann deen Traffic anzwousch anescht schécken ier den Tunnel en iwwerhaapt gesäit. Schéckt eng Stréimung déi zu den ausgehandelte Selektore passt vun engem autoriséierten Host, a liest duerno d’Zieler vum Kand amplaz d’Iwwerschrift. En Zieler dee bei null bleift während Dir passenden Traffic generéiert, weist op Routing oder Politik hin, net op IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

En genannt Kand starten ass eng bewosst Handlung mat engem sichtbaren Resultat, an et trennt “d’Verbindung ass idle well keen se gefrot huet” vun “d’Verbindung kann net eropkommen”. Eng Trap-Politik op Ufro verhält sech genee wéi den éischte Fall, dofir liest d’Startastellung vun der Verbindung ier Dir se e Feeler nennt.

Wann d’Zielung wierklech falsch ass

Wann eng Definitioun am geluedenen Inventaire feelt, kuckt d’Luede vun der Konfiguratioun an wéi eng Daemon-Instanz leeft. Wann se gelueden ass awer ni ausgehandelt gëtt, vergläicht Propositiounen, Authentifikatiounskontext a Selektoren mam Partner, een Kand no deem aneren. Ännert een Element pro Versuch a notéiert den Identifikator deen Dir geännert hutt. Eng Propositioun zréckzesetzen ass trivial wann Dir wësst wéi eng; et ass Roten no dräi Ännerungen déi ni getrennt goufen.

Reparéiert fir d’éischt déi falsch Liesung. Déi meescht Berichter iwwer en “fehlenden” zweeten Tunnel enden mat zwee installéierte Kanner ënner engem Elterendeel, an dat eenzegt wat jeemools futti war, war d’Zesummefaassungszeil op déi d’Leit vertraut hunn amplaz vun der Hierarchie.