Vienas pakeltas, nulis besijungiančių: ką skaičiuoja ta strongSwan eilutė

Perskaitykite būsenos eilutę, kuri sako Security Associations (1 up, 0 connecting), ir ji atrodo kaip ataskaita apie vieną veikiantį tunelį. Du potinkliai vienu metu per jį siunčia srautą, todėl skaičius atrodo meluojantis. Jis nemeluoja; jis skaičiuoja IKE asociacijas, o viena jų gali talpinti kelis vaikus. Perskaitykite inventorių, prieš liesdami pasiūlymą ar maršrutą.

Kodėl antraštė ir srautas nesutampa

Sena stroke išvestis savo sumą vadina saugos asociacijomis ir gauna ją iš IKE asociacijų tvarkyklės. Kiekviena užmegzta IKE asociacija prideda vieną, nepriklausomai nuo to, kiek CHILD SA yra po ja. Vienas IKEv2 tėvas paprastai neša kelis vaikus, po vieną kiekvienai srauto selektorių porai, o vaiko suderėti selektoriai gali apimti daugiau nei vieną adresą ar priešdėlį. Todėl adresų skaičius jūsų konfigūracijoje neturi pastovaus ryšio su skaičiumi antraštėje.

Šiuolaikinė išvestis kartais rodo sumą vietoj seno „up“ formulavimo, o swanctl valdomas demonas visai nėra varomas senų stroke nustatymų. Nelaikykite duotimi nei formulavimo, nei skaičiavimo taisyklės tarp versijų.

Palyginkite tris inventorius, prieš ką nors keisdami

Pradėkite nuo to, kas įkelta, tada nuo to, kas suderėta, tada nuo to, kas iš tikrųjų judina paketus. Tai trys skirtingi klausimai ir kiekvienas turi savo komandą.

swanctl --list-conns
swanctl --list-sas

Pirmoji išvardija ryšio apibrėžtis, kurias demonas priėmė. Antroji išvardija užmegztas IKE asociacijas su jų vaikais, ir būtent ten pasirodo tikroji hierarchija. Apibrėžtis, kuri yra faile, bet kurios nėra pirmajame sąraše, niekada nebuvo įkelta, ir joks iniciatoriaus pakartojimų skaičius to nepataisys. Jei vietoj to naudojate seną sąsają, lygiavertė pora yra ipsec statusall ir tas pats swanctl sąrašas, priklausomai nuo to, kuris papildinys valdo konfigūraciją. Nemaišykite įrankių tarp dviejų demonų viename pagrindiniame kompiuteryje ir nesitikėkite vieno nuoseklaus atsakymo.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Neapdorota forma palieka identifikatorius ir selektorius matomus palyginimui, o branduolio būsenos sąrašas rodo, ką krūva mano įdiegusi. Kai demonas ir branduolys nesutaria, arba demonas buvo paleistas iš naujo aplink esamą vaiką, arba branduolio objektas buvo pašalintas po juo.

Skaitykite hierarchiją, o ne sumą

Iliustratyvus užmegztas tėvas su dviem vaikais atrodo kaip vienas mazgas su dviem vaikais po juo, kiekvienas pažymėtas savo būsena ir režimu. Išspausdinkite tikrąją išvestį ir patys suskaičiuokite vaikus, o ne skaitykite santrauką, kurią kas nors įklijavo iš prietaisų skydelio.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Vienas tėvas su dviem įdiegtais vaikais yra sveikas dviejų potinklių tunelis. Vienas tėvas su vienu įdiegtu ir vienu trūkstamu vaiku yra kita situacija, ir trūkstamo vaiko selektoriai yra tai, ką reikia lyginti su tolimosios pusės pasiūlymu. Raktų atnaujinimo metu senas vaikas ir jo pakaitalas trumpam gali pasirodyti kartu. Saugokite laiko žymą kartu su momentine kopija, nes skaičiavimas atnaujinimo viduryje atrodo kaip dubliavimas, o po jo — kaip praradimas.

Įkelta, įdiegta ir srautas, kuris praeina

Įdiegtos būsenos vaikas turi suderėtus parametrus ir branduolio įrašą. Bet jis nebūtinai yra pernešęs paketą: selektoriai gali būti siauresni už laukiamą srautą, o maršrutas gali nusiųsti tą srautą kitur, dar prieš tuneliui jį pamatant. Siųskite suderėtus selektorius atitinkantį srautą iš įgalioto pagrindinio kompiuterio, tada skaitykite vaiko skaitiklius, o ne antraštę. Skaitiklis, kuris lieka ties nuliu, kol generuojate atitinkantį srautą, rodo maršruto parinkimą ar politiką, o ne IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Pavadinto vaiko paleidimas yra sąmoningas veiksmas su matomu rezultatu, ir jis atskiria „ryšys neveiklus, nes niekas neprašė“ nuo „ryšys negali pakilti“. Pagal pareikalavimą veikianti spąstų politika elgiasi lygiai kaip pirmasis atvejis, todėl perskaitykite ryšio paleidimo nuostatą, prieš vadindami tai gedimu.

Kai skaičius tikrai neteisingas

Jei apibrėžties trūksta įkeltame inventoriuje, pažiūrėkite į konfigūracijos įkėlimą ir kuri demono instancija veikia. Jei ji įkelta, bet niekada nesidera, palyginkite pasiūlymus, autentifikavimo kontekstą ir selektorius su partneriu, po vieną vaiką. Keiskite po vieną elementą kiekvienam bandymui ir užsirašykite pakeistą identifikatorių. Grąžinti pasiūlymą atgal yra trivialu, kai žinote kurį; tai spėlionė po trijų pakeitimų, kurie niekada nebuvo atskirti.

Pirmiausia ištaisykite klaidingą skaitymą. Dauguma pranešimų apie „dingusį“ antrą tunelį baigiasi dviem įdiegtais vaikais po vienu tėvu, o vienintelis kada nors sugedęs dalykas buvo santraukos eilutė, kuria žmonės tikėjo vietoj hierarchijos.