Ielādēts strongSwan profils nav aktīvs tunelis

Savienojuma uzskaitīšana strongSwan konfigurācijā pierāda tikai to, ka definīcija ir ielādēta. Tas nenozīmē, ka ar otru pusi ir sazinājušies, ka pastāv IKE SA vai ka kāds trafiks ir aizsargāts. Dēmons definīcijas un aktīvās asociācijas uztver kā atsevišķus objektus, un attālums starp tiem ir apzināta projektēšanas izvēle. Zinot, kuru objektu jūs pārbaudāt, neskaidra kļūme pārvēršas konkrētā nākamajā komandā.

Ielāde nav savienošanās

Ielādēts savienojums ir apgalvojums par to, ko vēlāk varēs pārrunāt: partnera adreses, akreditācijas dati, priekšlikumi un trafika selektori. Nekas šajā apgalvojumā neprasa, lai dēmons kādam būtu piezvanījis. Vārteja var gaidīt otru pusi, uzsākt palaišanas laikā vai gaidīt, kamēr to pamodinās atbilstošs trafiks. Visi trīs ir derīgi, un visi trīs konfigurācijas failā izskatās vienādi, līdz neizlasāt palaišanas politiku.

Operatoriem rodas problēmas, lasot definīciju sarakstu kā statusa sarakstu. Profils ir, tāpēc tiek pieņemts, ka tunelis darbojas, un nākamā stunda paiet, atkļūdojot maršrutus asociācijai, kas nekad netika izveidota.

Pretējā kļūda ir tikpat izplatīta. Trūkstošs profils sūta cilvēkus meklēt tīkla kļūmi, kad konfigurācija nekad nav ielādēta. Nosauciet objektu un pēc tam palaidiet komandu, kas to novēro.

Trīs objekti, trīs novērojumi

strongSwan glabā ielādētu definīciju, IKE SA un CHILD SA. Pirmā ir konfigurācija, otrā ir autentificēta vadības attiecības, bet trešā ir pārrunāta aizsardzība izvēlētam trafikam. Tiem pat ir atsevišķi nosaukumi, tāpēc profils ar nosaukumu hq var piederēt child ar nosaukumu hq-lan.

Tabula katram slānim piešķir komandu, kas to parāda. Izlasiet rindu, pirms lasāt žurnālu.

Pieprasot child, vispirms tiek uzbūvēts tā vecāka IKE SA, ja tāda neeksistē. Pieprasīt tikai IKE SA ir cits izsaukums. Vadības kanāls, kas labi autentificējas, negarantē pieprasīto child.

Šī atšķirība ir svarīga daļējas kļūmes laikā. IKE SA var būt vesels, kamēr child neizdodas selektora nesakritības vai priekšlikuma dēļ, ko partneris nepieņem. Abi objekti neizdodas dažādu iemeslu dēļ, tāpēc tie ir pelnījuši atsevišķus novērojumus.

Izvēlieties palaišanas darbību apzināti

swanctl.conf failā child start_action nosaka uzvedību pēc ielādes. Noklusējuma none atstāj definīciju manuālai palaišanai vai lietošanai kā responder. start to izsauc, savukārt trap atstāj politiku, kas pārrunā, tiklīdz parādās atbilstošs trafiks.

Tātad gan „ielāde nekad nepalaid tuneli”, gan „ielāde vienmēr palaid vienu” ir nepareizi. Darbība ir daļa no profila, un tai jāatbilst partnera lomai. Divas vārtejas, kas abas gaida otru pusi, rada klusumu, nevis tuneli.

Ar trap trafikam jāatbilst selektoriem, tāpēc nesaistīts ping neko nepamodinās. Ar start partnera adresei jābūt lietojamai, un abām pusēm jāvienojas par autentifikāciju un priekšlikumiem. Neviena no darbībām neaizstāj šo priekšnosacījumu pārbaudi.

Atjaunošana ir atsevišķa politika

Palaišana nav keepalive. Miruša partnera noteikšana, partnera skaidra aizvēršana, atslēgu atjaunošana un procesa restartēšana ir dažādi dzīves cikla notikumi ar saviem iestatījumiem. Konfigurējiet katru apzināti, tā vietā lai cerētu, ka sākotnējā palaišana aptvers tos visus.

Tunelis, kas paceļas palaišanas laikā un mirst stundu vēlāk, ir atjaunošanas jautājums. Palaišanas politika izdarīja savu darbu un pēc tam vairs nebija svarīga. Paskatieties uz DPD un atslēgu atjaunošanas iestatījumiem, pirms vainojat sākotnējās pārrunas.

Ielādētu definīciju aizstāšana ir atsevišķa operācija. Ne noklusējuma palaišanas politikām ir dokumentētas apgrieztās darbības, un pārlāde ir operatīva izmaiņa, nevis pieņēmums, ka katra asociācija tika atjaunināta uz vietas. Veiciet pārlādes pa posmiem, kur atkārtota savienošanās ir pieņemama. Saglabājiet veco konfigurāciju, līdz jaunā ir pierādīta.

Pirms maršrutēšanas atkļūdošanas pārbaudiet, kas pastāv

Veiciet trīs novērojumus pēc kārtas: ielādētas definīcijas, aktīvas IKE SA un child ierakstus. Katra atbilde sašaurina nākamo jautājumu. Izlaidiet soli, un jūs beigās atkļūdosiet slāni, kas nekad netika izveidots.

Sāciet ar to, kas ir ielādēts, un ar to, kas patiešām ir nodibināts:

swanctl --list-conns
swanctl --list-sas

Ja child trūkst, bet profils ir pareizs, iniciējiet to pēc nosaukuma un vērojiet, kas notiek. Izvade parasti pasaka, vai vecāks pacēlās pirmais.

swanctl --initiate --child hq-lan

Aktīvs CHILD SA nav finiša līnija. Pārsūtīšanas noteikumi, maršruti un pašas lietojumprogrammas autorizācija joprojām ir jāsaskaņo. Dzīves cikls atbild uz to, kas tika pārrunāts; tas nevar izlemt, kas drīkst izmantot pakalpojumu.