ഒന്ന് മുകളിൽ, പൂജ്യം ബന്ധിപ്പിക്കുന്നു: ആ strongSwan വരി എന്താണ് എണ്ണുന്നത്

Security Associations (1 up, 0 connecting) എന്ന് പറയുന്ന ഒരു സ്റ്റാറ്റസ് വരി വായിക്കുക, അത് ഒരു പ്രവർത്തിക്കുന്ന ടണലിന്റെ റിപ്പോർട്ട് പോലെ തോന്നുന്നു. രണ്ട് സബ്നെറ്റുകൾ ഒരേ സമയം അതിലൂടെ ട്രാഫിക് കടത്തിവിടുന്നു, അതിനാൽ സംഖ്യ കള്ളം പറയുന്നതായി തോന്നുന്നു. അത് കള്ളം പറയുന്നില്ല; അത് IKE അസോസിയേഷനുകളെണ്ണുന്നു, അവയിലൊന്നിന് നിരവധി കുട്ടികളെ പാർപ്പിക്കാം. ഒരു നിർദ്ദേശത്തിലോ റൂട്ടിലോ തൊടുന്നതിന് മുമ്പ് ഇൻവെന്ററികൾ വായിക്കുക.

തലക്കെട്ടും ട്രാഫിക്കും എന്തുകൊണ്ട് യോജിക്കുന്നില്ല

പഴയ stroke ഔട്ട്പുട്ട് അതിന്റെ ആകെത്തുകയെ സുരക്ഷാ അസോസിയേഷനുകൾ എന്ന് വിളിക്കുന്നു, അത് IKE അസോസിയേഷൻ മാനേജറിൽ നിന്ന് എടുക്കുന്നു. സ്ഥാപിതമായ ഓരോ IKE അസോസിയേഷനും ഒന്ന് ചേർക്കുന്നു, അതിനടിയിൽ എത്ര CHILD SA ഉണ്ടെന്നത് നോക്കാതെ. ഒരു IKEv2 മാതാപിതാവ് സാധാരണയായി നിരവധി കുട്ടികളെ വഹിക്കുന്നു, ഓരോ ട്രാഫിക് സെലക്ടർ ജോടിക്കും ഒന്ന്, കൂടാതെ ഒരു കുട്ടിയുടെ ചർച്ച ചെയ്ത സെലക്ടർമാർക്ക് ഒന്നിലധികം വിലാസമോ പ്രിഫിക്സോ ഉൾക്കൊള്ളാം. അതിനാൽ നിങ്ങളുടെ കോൺഫിഗറേഷനിലെ വിലാസങ്ങളുടെ എണ്ണത്തിന് തലക്കെട്ടിലെ സംഖ്യയുമായി നിശ്ചിത ബന്ധമില്ല.

ആധുനിക ഔട്ട്പുട്ട് ചിലപ്പോൾ പഴയ “up” പദപ്രയോഗത്തിന് പകരം ആകെത്തുക കാണിക്കുന്നു, swanctl നിയന്ത്രിക്കുന്ന ഡീമണിനെ പഴയ stroke ക്രമീകരണങ്ങൾ ഒട്ടും നിയന്ത്രിക്കുന്നില്ല. പതിപ്പുകൾക്കിടയിൽ പദപ്രയോഗമോ എണ്ണൽ നിയമമോ ഊഹിക്കരുത്.

എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് മൂന്ന് ഇൻവെന്ററികൾ താരതമ്യം ചെയ്യുക

ലോഡ് ചെയ്തതിൽ നിന്ന് തുടങ്ങുക, പിന്നെ ചർച്ച ചെയ്തത്, പിന്നെ യഥാർത്ഥത്തിൽ പാക്കറ്റുകൾ നീക്കുന്നത്. ഇവ മൂന്ന് വ്യത്യസ്ത ചോദ്യങ്ങളാണ്, ഓരോന്നിനും സ്വന്തം കമാൻഡ് ഉണ്ട്.

swanctl --list-conns
swanctl --list-sas

ആദ്യത്തേത് ഡീമൺ സ്വീകരിച്ച കണക്ഷൻ നിർവചനങ്ങൾ പട്ടികപ്പെടുത്തുന്നു. രണ്ടാമത്തേത് സ്ഥാപിത IKE അസോസിയേഷനുകളെ അവയുടെ കുട്ടികളോടൊപ്പം പട്ടികപ്പെടുത്തുന്നു, യഥാർത്ഥ ശ്രേണി അവിടെയാണ് പ്രത്യക്ഷപ്പെടുന്നത്. ഫയലിൽ ഉണ്ടെങ്കിലും ആദ്യ പട്ടികയിൽ ഇല്ലാത്ത ഒരു നിർവചനം ഒരിക്കലും ലോഡ് ചെയ്തിട്ടില്ല, ഇനിഷ്യേറ്ററിന്റെ എത്ര വീണ്ടും ശ്രമിച്ചാലും അത് ശരിയാക്കില്ല. പകരം നിങ്ങൾ പഴയ ഇന്റർഫേസ് പ്രവർത്തിപ്പിക്കുകയാണെങ്കിൽ, തുല്യമായ ജോടി ipsec statusall ഉം അതേ swanctl പട്ടികയുമാണ്, കോൺഫിഗറേഷൻ ഏത് പ്ലഗിനിന്റേതാണ് എന്നതിന് അനുസരിച്ച്. ഒരേ ഹോസ്റ്റിലെ രണ്ട് ഡീമണുകൾക്കിടയിൽ ഉപകരണങ്ങൾ കലർത്തരുത്, ഒരൊറ്റ സുസ്ഥിര ഉത്തരവും പ്രതീക്ഷിക്കരുത്.

swanctl --list-sas --raw | head -40
ip -s xfrm state

അസംസ്കൃത രൂപം ഐഡന്റിഫയറുകളും സെലക്ടർമാരും താരതമ്യത്തിനായി കാണാവുന്നതാക്കി നിർത്തുന്നു, കെർണൽ സ്റ്റേറ്റ് പട്ടിക സ്റ്റാക്ക് എന്താണ് ഇൻസ്റ്റാൾ ചെയ്തതെന്ന് കരുതുന്നത് കാണിക്കുന്നു. ഡീമണും കെർണലും യോജിക്കാത്തപ്പോൾ, ഒന്നുകിൽ ഡീമൺ നിലവിലുള്ള ഒരു കുട്ടിയെ ചുറ്റിപ്പറ്റി പുനരാരംഭിച്ചു, അല്ലെങ്കിൽ കെർണൽ ഒബ്ജക്റ്റ് അതിനടിയിൽ നിന്ന് നീക്കം ചെയ്തു.

ശ്രേണി വായിക്കുക, ആകെത്തുകയല്ല

രണ്ട് കുട്ടികളുള്ള ഒരു ഉദാഹരണ സ്ഥാപിത മാതാപിതാവ് താഴെ രണ്ട് കുട്ടികളുള്ള ഒരു നോഡ് പോലെ കാണപ്പെടുന്നു, ഓരോന്നും സ്വന്തം അവസ്ഥയും മോഡും കൊണ്ട് അടയാളപ്പെടുത്തിയിരിക്കുന്നു. ആരോ ഡാഷ്ബോർഡിൽ നിന്ന് ഒട്ടിച്ച സംഗ്രഹം വായിക്കുന്നതിനുപകരം യഥാർത്ഥ ഔട്ട്പുട്ട് പുറത്തെടുത്ത് കുട്ടികളെ നിങ്ങൾ തന്നെ എണ്ണുക.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

രണ്ട് ഇൻസ്റ്റാൾ ചെയ്ത കുട്ടികളുള്ള ഒരു മാതാപിതാവ് ആരോഗ്യകരമായ രണ്ട് സബ്നെറ്റ് ടണലാണ്. ഒരു ഇൻസ്റ്റാൾ ചെയ്ത കുട്ടിയും ഒരു കാണാത്ത കുട്ടിയുമുള്ള മാതാപിതാവ് മറ്റൊരു സാഹചര്യമാണ്, കാണാത്ത കുട്ടിയുടെ സെലക്ടർമാരാണ് ദൂരെയുള്ള വശത്തിന്റെ നിർദ്ദേശവുമായി താരതമ്യം ചെയ്യേണ്ടത്. കീ പുതുക്കലിനിടയിൽ പഴയ കുട്ടിയും അതിന്റെ പകരക്കാരനും അൽപ്പസമയം ഒരുമിച്ച് പ്രത്യക്ഷപ്പെടാം. സ്നാപ്പ്ഷോട്ടിനൊപ്പം സമയമുദ്ര സൂക്ഷിക്കുക, കാരണം പുതുക്കലിന്റെ നടുവിൽ എടുത്ത എണ്ണം തനിപ്പകർപ്പ് പോലെയും അതിനുശേഷം എടുത്തത് നഷ്ടം പോലെയും തോന്നും.

ലോഡ് ചെയ്തത്, ഇൻസ്റ്റാൾ ചെയ്തത്, കടന്നുപോകുന്ന ട്രാഫിക്

ഇൻസ്റ്റാൾ ചെയ്ത അവസ്ഥയിലുള്ള കുട്ടിക്ക് ചർച്ച ചെയ്ത പാരാമീറ്ററുകളും കെർണലിൽ ഒരു എൻട്രിയുമുണ്ട്. പക്ഷേ അത് പാക്കറ്റ് കൊണ്ടുപോയിരിക്കണമെന്നില്ല: സെലക്ടർമാർ നിങ്ങൾ പ്രതീക്ഷിക്കുന്ന ട്രാഫിക്കിനേക്കാൾ ഇടുങ്ങിയതാകാം, ടണൽ അത് കാണുന്നതിന് മുമ്പ് ഒരു റൂട്ട് ആ ട്രാഫിക് മറ്റെവിടെയോ അയക്കാം. അധികാരമുള്ള ഹോസ്റ്റിൽ നിന്ന് ചർച്ച ചെയ്ത സെലക്ടർമാരുമായി യോജിക്കുന്ന ഒഴുക്ക് അയക്കുക, പിന്നെ തലക്കെട്ടിന് പകരം കുട്ടിയുടെ കൗണ്ടറുകൾ വായിക്കുക. യോജിക്കുന്ന ട്രാഫിക് സൃഷ്ടിക്കുമ്പോഴും പൂജ്യത്തിൽ നിൽക്കുന്ന കൗണ്ടർ IKE അല്ല, റൂട്ടിംഗ് അല്ലെങ്കിൽ നയത്തിലേക്കാണ് സൂചിപ്പിക്കുന്നത്.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

പേരുള്ള ഒരു കുട്ടിയെ ആരംഭിക്കുന്നത് കാണാവുന്ന ഫലമുള്ള ബോധപൂർവമായ പ്രവർത്തനമാണ്, അത് “ആരും ആവശ്യപ്പെടാത്തതിനാൽ കണക്ഷൻ നിഷ്ക്രിയമാണ്” എന്നതിനെ “കണക്ഷന് ഉയരാൻ കഴിയില്ല” എന്നതിൽ നിന്ന് വേർതിരിക്കുന്നു. ആവശ്യാനുസരണമുള്ള കെണി നയം ആദ്യ സന്ദർഭം പോലെത്തന്നെ പെരുമാറുന്നു, അതിനാൽ അതിനെ തകരാറെന്ന് വിളിക്കുന്നതിന് മുമ്പ് കണക്ഷന്റെ ആരംഭ ക്രമീകരണം വായിക്കുക.

എണ്ണം യഥാർത്ഥത്തിൽ തെറ്റാകുമ്പോൾ

ലോഡ് ചെയ്ത ഇൻവെന്ററിയിൽ ഒരു നിർവചനം കാണാത്തെങ്കിൽ, കോൺഫിഗറേഷൻ ലോഡിംഗും ഏത് ഡീമൺ ഇൻസ്റ്റൻസ് പ്രവർത്തിക്കുന്നു എന്നതും നോക്കുക. അത് ലോഡ് ചെയ്തതാണെങ്കിലും ഒരിക്കലും ചർച്ച ചെയ്യുന്നില്ലെങ്കിൽ, നിർദ്ദേശങ്ങൾ, പ്രാമാണീകരണ സന്ദർഭം, സെലക്ടർമാർ എന്നിവ ഇണയുമായി താരതമ്യം ചെയ്യുക, ഒരു സമയം ഒരു കുട്ടി. ഓരോ ശ്രമത്തിലും ഒരു ഘടകം മാറ്റുക, മാറ്റിയ ഐഡന്റിഫയർ രേഖപ്പെടുത്തുക. ഏതാണെന്ന് അറിയുമ്പോൾ നിർദ്ദേശം പിൻവലിക്കുന്നത് നിസ്സാരമാണ്; ഒരിക്കലും വേർതിരിക്കാത്ത മൂന്ന് മാറ്റങ്ങൾക്ക് ശേഷം അത് ഊഹമാണ്.

ആദ്യം തെറ്റായ വായന ശരിയാക്കുക. “കാണാത്ത” രണ്ടാമത്തെ ടണലിനെക്കുറിച്ചുള്ള മിക്ക റിപ്പോർട്ടുകളും ഒരു മാതാപിതാവിന് കീഴിൽ രണ്ട് ഇൻസ്റ്റാൾ ചെയ്ത കുട്ടികളിലാണ് അവസാനിക്കുന്നത്, ഒരിക്കലും തകർന്നിരുന്ന ഏക കാര്യം ആളുകൾ ശ്രേണിക്ക് പകരം വിശ്വസിച്ച സംഗ്രഹ വരിയായിരുന്നു.