Еден подигнат, нула поврзани: што брои таа strongSwan линија

Прочитајте статусна линија што вели Security Associations (1 up, 0 connecting) и изгледа како извештај за еден тунел што работи. Две подмрежи истовремено пренесуваат сообраќај низ него, па бројот изгледа како да лаже. Не лаже; брои IKE асоцијации, а една од нив може да вдоми повеќе деца. Прочитајте ги инвентарите пред да допрете предлог или рута.

Зошто насловот и сообраќајот не се совпаѓаат

Стариот stroke излез го нарекува својот вкупно безбедносни асоцијации и го изведува од менаџерот на IKE асоцијации. Секоја воспоставена IKE асоцијација придонесува една, без оглед колку CHILD SA стојат под неа. Еден IKEv2 родител обично носи неколку деца, по едно за секој пар селектори на сообраќај, а договорените селектори на дете можат да покријат повеќе од една адреса или префикс. Затоа бројот на адреси во вашата конфигурација нема фиксен однос со бројот во насловот.

Современиот излез понекогаш покажува вкупно наместо стариот израз “up”, а демон управуван од swanctl воопшто не се води од старите stroke поставки. Не претпоставувајте ниту изразот ниту правилото за броење меѓу верзиите.

Споредете три инвентари пред да смените нешто

Започнете со тоа што е вчитано, потоа со тоа што е договорено, потоа со тоа што навистина преместува пакети. Тоа се три различни прашања и секое има своја команда.

swanctl --list-conns
swanctl --list-sas

Првата ги наведува дефинициите за поврзување што демонот ги прифати. Втората ги наведува воспоставените IKE асоцијации со нивните деца, и токму таму се појавува вистинската хиерархија. Дефиниција што постои во датотека, но ја нема во првиот список, никогаш не била вчитана, и ниеден број повторувања на иницијаторот тоа нема да го поправи. Ако наместо тоа го водите стариот интерфејс, еквивалентниот пар е ipsec statusall и истиот swanctl список, зависно од тоа кој приклучок ја поседува конфигурацијата. Не мешајте алатки меѓу два демона на еден домаќин и не очекувајте еден усогласен одговор.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Суровата форма ги држи идентификаторите и селекторите видливи за споредба, а списокот на состојбата на јадрото покажува што стекот мисли дека инсталирал. Кога демонот и јадрото не се согласуваат, или демонот е рестартиран околу постоечко дете, или објектот на јадрото е отстранет под него.

Читајте ја хиерархијата, не вкупниот број

Илустративен воспоставен родител со две деца изгледа како еден јазол со две деца под него, секое означено со својата состојба и режим. Испечатете го вистинскиот излез и сами избројте ги децата наместо да читате резиме што некој го залепил од контролна табла.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Еден родител со две инсталирани деца е здрав тунел за две подмрежи. Еден родител со едно инсталирано и едно отсутно дете е друга ситуација, а селекторите на детето што недостасува се она што треба да се спореди со предлогот на далечната страна. За време на обновување на клучеви, старо дете и неговиот заменик можат кратко да се појават заедно. Чувајте ја временската ознака со снимката, бидејќи броење земено на средина од обновувањето изгледа како дуплирање, а по него како загуба.

Вчитано, инсталирано и сообраќај што поминува

Дете во инсталирана состојба има договорени параметри и запис во јадрото. Но тоа не мора да пренело пакет: селекторите можат да бидат потесни од сообраќајот што го очекувате, а рутата може да го испрати тој сообраќај на друго место пред тунелот воопшто да го види. Испратете тек што одговара на договорените селектори од овластен домаќин, потоа читајте ги бројачите на детето наместо насловот. Бројач што останува на нула додека создавате соодветен сообраќај укажува на рутирање или политика, не на IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Започнувањето именувано дете е намерно дејство со видлив резултат, и го одвојува “врската е неактивна зашто никој не побарал” од “врската не може да се подигне”. Политиката на стапица при барање се однесува точно како првиот случај, затоа прочитајте ја поставката за започнување на врската пред да го наречете дефект.

Кога бројот навистина е погрешен

Ако дефиниција недостасува во вчитаниот инвентар, погледнете го вчитувањето на конфигурацијата и која инстанца на демонот работи. Ако е вчитана но никогаш не се договара, споредете предлози, контекст на автентикација и селектори со партнерот, едно дете по едно. Менувајте по еден елемент на обид и запишете го идентификаторот што сте го смениле. Враќањето на предлог е тривијално кога знаете кој е; тоа е нагаѓање по три измени што никогаш не биле одвоени.

Прво исправете го погрешното читање. Повеќето извештаи за “недостапен” втор тунел завршуваат со две инсталирани деца под еден родител, а единственото што некогаш било расипано е линијата со резиме на која луѓето и веруваа наместо на хиерархијата.