Нэг дээш, тэг холбогдож байна: тэр strongSwan мөр юу тоолдог вэ

Security Associations (1 up, 0 connecting) гэж хэлсэн төлөвийн мөрийг уншихад нэг ажиллаж буй туннелийн тайлан мэт харагдана. Хоёр дэд сүлжээ нэгэн зэрэг түүгээр урсгал дамжуулж байгаа тул тоо худлаа хэлж байгаа мэт санагдана. Тэр худлаа хэлэхгүй; тэр IKE холбоог тоолдог бөгөөд тэдгээрийн нэг нь хэд хэдэн хүүг байрлуулж чадна. Санал эсвэл маршрутад хүрэхээс өмнө жагсаалтуудыг уншаарай.

Яагаад гарчиг ба урсгал нийцэхгүй байна

Хуучин stroke гаралт нийлбэрээ аюулгүй байдлын холбоо гэж нэрлээд IKE холбооны менежерээс авдаг. Бүрдсэн IKE холбоо бүр нэгийг нэмдэг, доор нь хэдэн CHILD SA байх нь хамаагүй. Нэг IKEv2 эцэг эх ихэвчлэн хэд хэдэн хүүг авч явдаг, урсгалын сонгогчийн хос бүрт нэг, мөн хүүгийн тохиролцсон сонгогчид нэгээс олон хаяг эсвэл угтварыг хамарч болно. Тиймээс таны тохиргоон дахь хаягийн тоо гарчиг дахь тоотой тогтмол хамааралгүй.

Орчин үеийн гаралт заримдаа хуучин “up” хэллэгийн оронд нийлбэр харуулдаг бөгөөд swanctl-ээр удирдагддаг демон хуучин stroke тохиргоогоор огт удирдагддаггүй. Хувилбаруудын хооронд хэллэг ч, тоолох дүрэм ч гэж бүү үзээрэй.

Ямар нэг зүйлийг өөрчлөхөөс өмнө гурван жагсаалтыг харьцуулаарай

Ачаалагдсанаас эхэл, дараа нь тохиролцсоноос, дараа нь үнэхээр пакет зөөж байгаагаас. Эдгээр нь гурван өөр асуулт бөгөөд тус бүр өөрийн командтай.

swanctl --list-conns
swanctl --list-sas

Эхнийх нь демоноос хүлээн авсан холболтын тодорхойлолтыг жагсаана. Хоёр дахь нь бүрдсэн IKE холбоог хүүхдүүдийн хамт жагсаадаг бөгөөд жинхэнэ шатлал тэнд гарч ирдэг. Файлд байгаа ч эхний жагсаалтад байхгүй тодорхойлолт хэзээ ч ачаалагдаагүй бөгөөд санаачлагчийн хэчнээн дахин оролдлого ч үүнийг засахгүй. Хэрэв та оронд нь хуучин интерфэйсийг ажиллуулж байгаа бол ижил утгатай хос нь ipsec statusall ба мөн swanctl жагсаалт бөгөөд тохиргоо аль залгууштай болохоос хамаарна. Нэг хост дээрх хоёр демоны хооронд хэрэгслийг хольж болохгүй бөгөөд нэг эв нэгдэлтэй хариулт хүлээх хэрэггүй.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Түүхий хэлбэр нь таних тэмдэг болон сонгогчдыг харьцуулахад харагдахуйц байлгадаг, цөмийн төлөвийн жагсаалт стек юу суулгасан гэж бодож байгааг харуулна. Демон ба цөм санал нийлэхгүй үед демон одоо байгаа хүүгийн эргэн тойронд дахин ачаалагдсан, эсвэл цөмийн объект түүний доороос хасагдсан байна.

Шатлалыг унш, нийлбэрийг биш

Хоёр хүүтэй жишээ бүрдсэн эцэг эх нь доор нь хоёр хүүтэй нэг зангилаа мэт харагдах бөгөөд тус бүр өөрийн төлөв, горимоор тэмдэглэгдсэн. Хэн нэгний хяналтын самбараас буулгасан хураангуйг уншихын оронд бодит гаралтыг гаргаж, хүүхдүүдийг өөрөө тоолоорой.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Хоёр суулгасан хүүтэй нэг эцэг эх нь эрүүл хоёр дэд сүлжээний туннель юм. Нэг суулгасан, нэг байхгүй хүүтэй эцэг эх өөр нөхцөл бөгөөд дутуу хүүгийн сонгогчид нь алслагдсан талын саналтай харьцуулах зүйл юм. Түлхүүр шинэчлэх үед хуучин хүү ба түүний орлуулагч богино хугацаанд хамт харагдаж болно. Цагын тэмдгийг агшны зурагтай хамт хадгаарай, учир нь шинэчлэлийн дунд авсан тооллого давхардсан мэт, дараа авсан нь алдагдсан мэт харагддаг.

Ачаалагдсан, суулгасан ба урсгал нэвтрэх

Суулгасан төлөв дэх хүү нь тохиролцсон параметр болон цөмд бүртгэлтэй байна. Гэхдээ тэр заавал пакет зөөсөн байх албагүй: сонгогчид хүлээж буй урсгалаас нарийн байж болох бөгөөд маршрут тэр урсгалыг туннель харахаас өмнө өөр тийш илгээж болно. Эрх бүхий хостээс тохиролцсон сонгогчид тохирох урсгал илгээгээд, дараа нь гарчгийн оронд хүүгийн тоолуурыг уншаарай. Тохирох урсгал үүсгэж байхад тэг дээр үлдэх тоолуур нь IKE биш, маршрутлалт эсвэл бодлогыг заана.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Нэрлэсэн хүүг эхлүүлэх нь харагдахуйц үр дүнтэй санаатай үйлдэл бөгөөд энэ нь “хэн ч хүсээгүй тул холболт идэвхгүй” гэдгийг “холболт босч чадахгүй” гэдгээс ялгадаг. Хүсэлтээр ажиллах урхи бодлого нь эхний тохиолдол шиг яг адилхан ажилладаг тул үүнийг гэмтэл гэж нэрлэхээс өмнө холболтын эхлүүлэх тохиргоог уншаарай.

Тоо үнэхээр буруу байх үед

Хэрэв тодорхойлолт ачаалагдсан жагсаалтад байхгүй бол тохиргооны ачааллыг болон аль демоны хувилбар ажиллаж байгааг хараарай. Хэрэв ачаалагдсан боловч хэзээ ч тохиролцохгүй бол санал, баталгаажуулалтын контекст, сонгогчдыг түнштэй харьцуул, нэг удаад нэг хүү. Оролдлого бүрт нэг элементийг өөрчилж, өөрчилсөн таних тэмдгээ бичээрэй. Аль нь болохыг мэдвэл саналыг буцаах нь өчүүхэн; хэзээ ч тусгаарлаагүй гурван засварын дараа энэ нь таамаг.

Эхлээд буруу уншсан зүйлийг засаарай. “Алга болсон” хоёр дахь туннелийн тухай ихэнх мэдээ нэг эцэг эхийн доор хоёр суулгасан хүүтэйгээр төгсдөг бөгөөд хэзээ нэгэн цагт эвдэрсэн цорын ганц зүйл бол хүмүүсийн шатлалын оронд итгэсэн хураангуй мөр байв.