Viens augšā, nulle savienojas: ko skaita šī strongSwan rinda

Izlasi statusa rindu, kas saka Security Associations (1 up, 0 connecting), un tā izskatās kā ziņojums par vienu strādājošu tuneli. Divi apakštīkli vienlaikus laiž caur to datplūsmu, tāpēc skaitlis izskatās kā melotu. Tas nemelo; tas skaita IKE asociācijas, un viena no tām var izmitināt vairākus bērnus. Izlasi inventārus, pirms pieskaries priekšlikumam vai maršrutam.

Kāpēc virsraksts un datplūsma nesaskan

Vecā stroke izvade savu kopsummu sauc par drošības asociācijām un iegūst to no IKE asociāciju pārvaldnieka. Katra izveidotā IKE asociācija dod vienu, neatkarīgi no tā, cik CHILD SA atrodas zem tās. Viens IKEv2 vecāks parasti nes vairākus bērnus, pa vienam katrai datplūsmas selektoru pārim, un bērna saskaņotie selektori var aptvert vairāk nekā vienu adresi vai prefiksu. Tāpēc adrešu skaitam tavā konfigurācijā nav noteiktu attiecību ar skaitli virsrakstā.

Mūsdienu izvade dažkārt rāda kopsummu vecā “up” formulējuma vietā, un swanctl pārvaldīts dēmons vispār netiek vadīts no vecajiem stroke iestatījumiem. Neuzskati par pašsaprotamu ne formulējumu, ne skaitīšanas noteikumu starp versijām.

Salīdzini trīs inventārus, pirms kaut ko maini

Sāc ar to, kas ir ielādēts, tad ar to, kas ir saskaņots, tad ar to, kas patiešām pārvieto paketes. Tie ir trīs dažādi jautājumi, un katram ir sava komanda.

swanctl --list-conns
swanctl --list-sas

Pirmā uzskaita savienojuma definīcijas, ko dēmons pieņēma. Otrā uzskaita izveidotās IKE asociācijas ar to bērniem, un tieši tur parādās īstā hierarhija. Definīcija, kas ir failā, bet nav pirmajā sarakstā, nekad netika ielādēta, un neviens iniciatora atkārtojumu skaits to nelabos. Ja tā vietā lieto veco saskarni, līdzvērtīgais pāris ir ipsec statusall un tas pats swanctl saraksts, atkarībā no tā, kuram spraudnim pieder konfigurācija. Nejauc rīkus starp diviem dēmoniem vienā resursdatorā un negaidi vienu konsekventu atbildi.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Neapstrādātā forma tur identifikatorus un selektorus redzamus salīdzināšanai, un kodola stāvokļa saraksts rāda, ko steks domā, ka ir instalējis. Kad dēmons un kodols nesakrīt, vai nu dēmons ir restartēts ap esošu bērnu, vai arī kodola objekts ir noņemts zem tā.

Lasi hierarhiju, nevis kopsummu

Ilustratīvs izveidots vecāks ar diviem bērniem izskatās kā viens mezgls ar diviem bērniem zem tā, katrs apzīmēts ar savu stāvokli un režīmu. Izvadi īsto izvadi un saskaiti bērnus pats, tā vietā lasot kopsavilkumu, ko kāds ielīmēja no informācijas paneļa.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Viens vecāks ar diviem instalētiem bērniem ir veselīgs divu apakštīklu tunelis. Viens vecāks ar vienu instalētu un vienu trūkstošu bērnu ir cita situācija, un trūkstošā bērna selektori ir tas, kas jāsalīdzina ar tālās puses priekšlikumu. Atslēgu atjaunošanas laikā vecs bērns un tā aizstājējs īsu brīdi var parādīties kopā. Glabā laika zīmogu kopā ar momentuzņēmumu, jo skaitījums atjaunošanas vidū izskatās kā dublēšanās, bet pēc tam — kā zudums.

Ielādēts, instalēts un datplūsma, kas iet cauri

Bērnam instalētā stāvoklī ir saskaņoti parametri un kodola ieraksts. Bet tas ne vienmēr ir pārvadājis paketi: selektori var būt šaurāki par gaidīto datplūsmu, un maršruts var nosūtīt šo datplūsmu citur, pirms tunelis to vispār ierauga. Nosūti saskaņotajiem selektoriem atbilstošu plūsmu no autorizēta resursdatora, tad lasi bērna skaitītājus, nevis virsrakstu. Skaitītājs, kas paliek uz nulles, kamēr tu ģenerē atbilstošu datplūsmu, norāda uz maršrutēšanu vai politiku, nevis uz IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Nosauktā bērna palaišana ir apzināta darbība ar redzamu rezultātu, un tā atšķir “savienojums ir dīkstāvē, jo neviens to neprasīja” no “savienojums nevar pacelties”. Pēc pieprasījuma darbojošā slazda politika uzvedas tieši kā pirmais gadījums, tāpēc izlasi savienojuma palaišanas iestatījumu, pirms sauc to par kļūmi.

Kad skaitījums patiešām ir nepareizs

Ja definīcija trūkst ielādētajā inventārā, paskaties uz konfigurācijas ielādi un to, kura dēmona instance darbojas. Ja tā ir ielādēta, bet nekad nesaskaņo, salīdzini priekšlikumus, autentifikācijas kontekstu un selektorus ar partneri, pa vienam bērnam. Maini vienu elementu katrā mēģinājumā un pieraksti mainīto identifikatoru. Priekšlikuma atritināšana ir vienkārša, ja zini kuru; tā ir minēšana pēc trim labojumiem, kas nekad netika atdalīti.

Vispirms izlabo nepareizo nolasījumu. Lielākā daļa ziņojumu par “pazudušu” otru tuneli beidzas ar diviem instalētiem bērniem zem viena vecāka, un vienīgais, kas jebkad bija salauzts, bija kopsavilkuma rinda, kurai cilvēki ticēja hierarhijas vietā.