ipsec.conf или swanctl.conf? Изберете еден strongSwan интерфејс

Работен IKEv1 профил од постар водич слетува на Ubuntu 24.04, а првиот обид не успева затоа што демонот никогаш не ја прочитал датотеката. Вообичаената реакција е профилот повторно да се уреди. Вистинското прашање е кој интерфејс на strongSwan е инсталиран и кој го користи услугата што работи. Додека тоа не се одговори, секое уредување е насочено кон вчитувач што можеби не постои.

Две датотеки, два вчитувачи, еден демон

Стариот starter распоред ја чита ipsec.conf и ги предава врските на charon преку својата стара интеграција за управување. Неговата оперативна влезна точка е командата ipsec.

swanctl распоредот вчитува дефиниции преку VICI, ја чита swanctl.conf и се управува со командата swanctl. Демонот charon, вграден во systemd, се интегрира со тој пристап.

Двата можат да бидат инсталирани на иста машина и токму таму започнува конфузијата. Датотека под /etc докажува само дека некој ја напишал, а не дека процесот што работи ја вчитал. Инсталирањето на секоја алтернатива за да се види која работи создава домаќин со два пата за управување и без јасен сопственик. Изберете еден распоред и отстранете го или оневозможете го другиот.

Прочитајте ги инсталираните пакети и unit

Започнете само за читање. Имињата на пакетите на Ubuntu 24.04 се одделни: strongswan-starter, strongswan-swanctl и charon-systemd. Пакетот што недостасува е корисна информација, а не упатство да се инсталира.

Пописете ги пакетите и unit во еден премин:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Потоа проверете го активниот unit и неговата команда за стартување. Името на unit кажува кој демон ја поседува конфигурацијата, а командната линија потврдува кои датотеки му било наредено да ги чита. Unit што е овозможен, но неактивен, раскажува друга приказна од оној што работи сега.

Ако активниот unit е strongswan-starter, датотеката што е важна е ipsec.conf. Ако е charon-systemd со swanctl, ipsec.conf е само украс.

Користете го соодветниот пат за управување

Секој интерфејс има свој поглед на врските и асоцијациите. swanctl --list-conns ги прикажува вчитаните дефиниции, а swanctl --list-sas активните асоцијации. Стариот пат ја користи ipsec statusall.

Нивното мешање создава измамнички грешки. Недостасува сокет VICI или одбиено барање за управување е проблем на патот за управување, а не доказ дека партнерот ја одбил автентикацијата.

Прочитајте го погледот што му припаѓа на демонот што работи, а потоа протолкувајте го резултатот. Ако врската ја нема во тој поглед, проблемот е во вчитувањето, а не во преговорите.

Форматот не е верзијата на IKE

Стариот профил избира IKEv1 со keyexchange=ikev1. swanctl врската користи поставка за верзија, каде што 1 избира IKEv1. Тоа се два речника за истата идеја, а не претворање.

Адресите на партнерот, локалните и оддалечените идентитети, изворите на акредитиви, предлозите и child селекторите мора намерно да се мапираат. Вметнувањето на left/right блок во swanctl синтаксата не прави ништо од тоа.

Менувањето само на верзијата на протоколот е најчестата полумиграција. Таа создава датотека што се вчитува и потоа не поминува автентикација од причини несврзани со верзијата. Самиот IKEv1 е застарен според RFC 9395, затоа постоечкиот партнер што се уште го бара заслужува документирано ограничување на компатибилноста и пат за миграција, а не нова стандардна вредност.

Проверете го вчитувачот пред да го допрете профилот

Прво извршете ја проверката на вчитувачот, потоа вчитајте ја саканата врска, потоа оценете ги преговорите и на крајот патот на заштитениот сообраќај. Секоја фаза има различен потпис на неуспех.

Двата пата за управување директно одговараат на прашањето за вчитувањето:

swanctl --list-conns
ipsec statusall

Само една од тие команди му припаѓа на вашиот домаќин. Извршувањето на двете и споредувањето на излезот е начин да откриете која ви лаже, а не дијагностички метод.

Третирајте ги сопственоста на пакетите, вчитувањето на конфигурацијата и компатибилноста на протоколот како три одделни прашања. Датотека валидна за еден интерфејс инаку ќе се уредува повторно и повторно додека работи друг демон.