Ачаалагдсан strongSwan профайл нь идэвхтэй туннель биш
strongSwan тодорхойлолтуудыг ачаалж, дараа нь IKE болон CHILD SA-г хэлэлцэнэ. Профайл ачаалагдсан гэдэг нь туннель байгаа эсэх, хэн эхлүүлж байгааг юу ч хэлэхгүй.
strongSwan тохиргоонд холболтыг жагсаах нь зөвхөн тодорхойлолт ачаалагдсаныг нотолно. Энэ нь түнштэй холбогдсон, IKE SA байгаа эсвэл ямар нэг трафик хамгаалагдсан гэсэн үг биш. Демон тодорхойлолт болон амьд холбоог тусдаа объект гэж үздэг бөгөөд тэдгээрийн хоорондын зай нь санаатай дизайны шийдвэр юм. Аль объектыг шалгаж байгаагаа мэдэх нь бүрэлзсэн алдааг тодорхой дараагийн команд болгоно.
Ачаалах нь холбогдох биш
Ачаалагдсан холболт нь дараа нь юу хэлэлцэж болохыг илэрхийлсэн мэдэгдэл: түншийн хаяг, нэвтрэх мэдээлэл, санал болон трафикийн сонгогч. Энэ мэдэгдэлд демон хэнд ч залгасан байхыг шаардсан зүйл байхгүй. Гарц нөгөө талыг хүлээх, эхлүүлэх үед санаачлах эсвэл тохирох трафик сэрээхийг хүлээх боломжтой. Гурвуулаа хүчинтэй бөгөөд гурвуулаа эхлэх бодлогыг унших хүртэл тохиргооны файлд ижил харагдана.
Операторууд тодорхойлолтын жагсаалтыг төлөвийн жагсаалт гэж уншиж асуудалд ордог. Профайл байгаа тул туннелийг босгосон гэж үзэж, дараагийн цаг нь хэзээ ч баригдаагүй холбооны маршрутыг засах ажилд зарцуулагдана.
Эсрэг алдаа мөн л нийтлэг. Профайл байхгүй үед хүмүүс тохиргоо хэзээ ч ачаалагдаагүй байхад сүлжээний алдаа хайхаар явдаг. Объектыг нэрлээд, дараа нь түүнийг ажигладаг командыг ажиллуул.
Гурван объект, гурван ажиглалт
strongSwan нь ачаалагдсан тодорхойлолт, IKE SA болон CHILD SA-г хадгалдаг. Эхнийх нь тохиргоо, хоёр дахь нь баталгаажсан хяналтын харилцаа, гурав дахь нь сонгосон трафикийн хэлэлцсэн хамгаалалт юм. Тэд бүр тусдаа нэртэй, тиймээс hq нэртэй профайл hq-lan нэртэй child-г эзэмшиж болно.
Хүснэгт нь давхарга бүрийг түүнийг харуулах командтай холбодог. Бүртгэлийг уншихаас өмнө мөрийг унш.
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
Child-г хүсэх нь байхгүй үед эхлээд түүний эх IKE SA-г барьдаг. Зөвхөн IKE SA хүсэх нь өөр дуудлага. Зөв баталгаажуулдаг хяналтын суваг хүссэн child-г батлахгүй.
Энэ ялгаа хэсэгчилсэн алдааны үед чухал. IKE SA эрүүл байж болох ч child нь сонгогчийн зөрүү эсвэл түнш хүлээж авахгүй саналын улмаас бүтэлгүйтдэг. Хоёр объект өөр шалтгаанаар бүтэлгүйтдэг тул тусдаа ажиглалт хийх ёстой.
Эхлэх үйлдлийг санаатайгаар сонго
swanctl.conf дотор child-ийн start_action нь ачаалсны дараах зан төлөвийг шийддэг. Анхдагч none нь тодорхойлолтыг гараар эхлүүлэх эсвэл responder болгон ашиглахад үлдээдэг. start нь түүнийг дууддаг бол trap нь тохирох трафик гарч ирмэгц хэлэлцдэг бодлогыг үлдээдэг.
Тиймээс «ачаалах нь хэзээ ч туннель эхлүүлэхгүй» ба «ачаалах нь үргэлж нэгийг эхлүүлдэг» хоёулаа буруу. Үйлдэл нь профайлын хэсэг бөгөөд түншийн үүрэгт тохирох ёстой. Хоёр гарц хоёулаа нөгөө талыг хүлээвэл чимээгүй байдал үүснэ, туннель биш.
trap үед трафик сонгогчдод тохирох ёстой тул хамааралгүй ping юуг ч сэрээхгүй. start үед түншийн хаяг ашиглах боломжтой байх ёстой бөгөөд хоёр тал баталгаажуулалт болон саналын талаар санал нэгдэх ёстой. Аль ч үйлдэл эдгээр нөхцлийг шалгахыг орлохгүй.
Сэргээх нь тусдаа бодлого
Эхлүүлэх нь keepalive биш. Үхсэн түншийг илрүүлэх, түншийн тодорхой хаалт, түлхүүр солих, процессыг дахин эхлүүлэх нь өөрийн тохиргоотой өөр өөр амьдралын мөчлөгийн үйл явдал юм. Тэдгээрийг тус бүрд нь санаатайгаар тохируул, эхний эхлэл бүгдийг хамарна гэж найдалгүй.
Эхлэх үед босч, нэг цагийн дараа үхдэг туннель нь сэргээх асуудал юм. Эхлэх бодлого өөрийн ажлыг хийсэн бөгөөд дараа нь ач холбогдолгүй болсон. Анхны хэлэлцээрийг буруутгахаас өмнө DPD болон түлхүүр солих тохиргоог хар.
Ачаалагдсан тодорхойлолтыг солих нь тусдаа үйлдэл юм. Стандарт бус эхлэх бодлогууд баримтжуулсан урвуу үйлдэлтэй бөгөөд дахин ачаалах нь үйл ажиллагааны өөрчлөлт бөгөөд холбоо бүрийг газар дээр нь шинэчилсэн гэсэн таамаг биш. Дахин ачааллыг дахин холбогдохыг зөвшөөрөх үе шаттайгаар хий. Хуучин тохиргоог шинэ нь нотлогдох хүртэл хадгал.
Маршрутжуулалтыг засахаас өмнө юу байгааг шалга
Гурван ажиглалтыг дарааллаар гүйцэтгэ: ачаалагдсан тодорхойлолт, идэвхтэй IKE SA болон child бичлэг. Хариулт бүр дараагийн асуултыг нарийсгана. Нэг алхмыг алгасвал эцэст нь хэзээ ч баригдаагүй давхаргыг засна.
Ачаалагдсан болон үнэхээр тогтоогдсоноос эхэл:
swanctl --list-conns
swanctl --list-sasХэрэв профайл зөв байхад child байхгүй бол түүнийг нэрээр нь эхлүүлж, юу болохыг ажигла. Гаралт нь ихэвчлэн эх нь түрүүлж боссон эсэхийг хэлдэг.
swanctl --initiate --child hq-lanИдэвхтэй CHILD SA нь барианы шугам биш. Дамжуулах дүрэм, маршрут болон програмын өөрийн зөвшөөрөл одоо ч нийцэх ёстой. Амьдралын мөчлөг юу хэлэлцсэнийг хариулдаг; хэн үйлчилгээг ашиглаж болохыг шийдэж чадахгүй.