एक वर, शून्य जोडत आहे: ती strongSwan ओळ काय मोजते

Security Associations (1 up, 0 connecting) असे सांगणारी स्थिती ओळ वाचा आणि ती एका चालू बोगद्याच्या अहवालासारखी वाटते। दोन सबनेट एकाच वेळी त्यातून रहदारी पाठवत आहेत, म्हणून संख्या खोटे बोलत असल्यासारखी वाटते। ती खोटे बोलत नाही; ती IKE संबंध मोजते, आणि त्यातील एक अनेक चाइल्ड ठेवू शकतो। कोणताही प्रस्ताव किंवा मार्गाला स्पर्श करण्यापूर्वी याद्या वाचा।

शीर्षक आणि रहदारी का जुळत नाहीत

जुने stroke आउटपुट त्याच्या एकूणला सुरक्षा संबंध म्हणते आणि ते IKE संबंध व्यवस्थापकाकडून घेते। प्रत्येक स्थापित IKE संबंध एक जोडतो, त्याखाली किती CHILD SA आहेत याचा विचार न करता। एक IKEv2 पालक सामान्यतः अनेक चाइल्ड वाहतो, प्रत्येक रहदारी-निवडक जोडीसाठी एक, आणि चाइल्डचे बोलणी झालेले निवडक एकापेक्षा जास्त पत्ता किंवा उपसर्ग व्यापू शकतात। म्हणून तुमच्या संरचनेतील पत्त्यांच्या संख्येचा शीर्षकातील संख्येशी ठराविक संबंध नाही।

आधुनिक आउटपुट कधीकधी जुन्या “up” शब्दाऐवजी एकूण दाखवते, आणि swanctl-व्यवस्थापित डेमन जुन्या stroke सेटिंग्जने अजिबात चालत नाही। आवृत्त्यांमध्ये शब्द किंवा मोजणीचा नियम गृहीत धरू नका।

काहीही बदलण्यापूर्वी तीन याद्यांची तुलना करा

काय लोड झाले आहे त्यापासून सुरुवात करा, नंतर काय बोलणी झाली आहे, नंतर काय प्रत्यक्षात पॅकेट हलवते। ही तीन वेगळी प्रश्ने आहेत आणि प्रत्येकाचा स्वतःचा आदेश आहे।

swanctl --list-conns
swanctl --list-sas

पहिली डेमनने स्वीकारलेल्या कनेक्शन व्याख्या सूचीबद्ध करते। दुसरी स्थापित IKE संबंध त्यांच्या चाइल्डसह सूचीबद्ध करते, आणि खरे पदानुक्रम तिथेच दिसते। फाइलमध्ये असलेली पण पहिल्या यादीत नसलेली व्याख्या कधीच लोड झाली नाही, आणि प्रारंभकर्त्याच्या कितीही पुनर्प्रयत्नांनी ती सुधारणार नाही। त्याऐवजी तुम्ही जुना इंटरफेस चालवत असाल, तर समतुल्य जोडी ipsec statusall आणि तीच swanctl यादी आहे, संरचना कोणत्या प्लगइनकडे आहे यावर अवलंबून। एकाच होस्टवर दोन डेमनमध्ये साधने मिसळू नका आणि एकच सुसंगत उत्तर अपेक्षू नका।

swanctl --list-sas --raw | head -40
ip -s xfrm state

कच्चा फॉर्म ओळखकर्ते आणि निवडक तुलनेसाठी दृश्यमान ठेवतो, आणि कर्नेल स्थिती यादी स्टॅकने काय स्थापित केले असे मानले ते दाखवते। डेमन आणि कर्नेल एकमत नसताना, एकतर डेमन विद्यमान चाइल्डभोवती पुन्हा सुरू झाला किंवा कर्नेल ऑब्जेक्ट त्याखालून काढला गेला।

एकूण नाही, पदानुक्रम वाचा

दोन चाइल्ड असलेला उदाहरणात्मक स्थापित पालक खाली दोन चाइल्ड असलेल्या एका नोडसारखा दिसतो, प्रत्येक आपल्या स्थिती आणि मोडने चिन्हांकित। कोणीतरी डॅशबोर्डवरून पेस्ट केलेला सारांश वाचण्याऐवजी प्रत्यक्ष आउटपुट काढा आणि चाइल्ड स्वतः मोजा।

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

दोन स्थापित चाइल्ड असलेला एक पालक निरोगी दोन-सबनेट बोगदा आहे। एक स्थापित आणि एक अनुपस्थित चाइल्ड असलेला पालक वेगळी परिस्थिती आहे, आणि गहाळ चाइल्डचे निवडक हेच दूरच्या बाजूच्या प्रस्तावाशी तुलना करायचे आहे। किल्ली नूतनीकरणादरम्यान जुना चाइल्ड आणि त्याचा बदली थोडा वेळ एकत्र दिसू शकतात। स्नॅपशॉटसोबत वेळ-चिन्ह ठेवा, कारण नूतनीकरणाच्या मध्यात घेतलेली मोजणी दुहेरी वाटते आणि त्यानंतर घेतलेली हानी वाटते।

लोड केलेले, स्थापित आणि रहदारी जात असलेले

स्थापित स्थितीतील चाइल्डकडे बोलणी झालेले मापदंड आणि कर्नेलमध्ये नोंद असते। पण त्याने पॅकेट वाहिलेच असे नाही: निवडक तुमच्या अपेक्षेपेक्षा अरुंद असू शकतात, आणि बोगद्याला दिसण्यापूर्वी मार्ग ती रहदारी दुसरीकडे पाठवू शकतो। अधिकृत होस्टवरून बोलणी झालेल्या निवडकांशी जुळणारा प्रवाह पाठवा, नंतर शीर्षकाऐवजी चाइल्डचे मोजणी यंत्र वाचा। जुळणारी रहदारी तयार करताना शून्यावर राहणारे मोजणी यंत्र IKE नाही, तर मार्गनिर्देशन किंवा धोरणाकडे निर्देश करते।

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

नाव असलेला चाइल्ड सुरू करणे ही दृश्य परिणाम असलेली जाणीवपूर्वक क्रिया आहे, आणि ती “कोणीही मागितले नाही म्हणून कनेक्शन निष्क्रिय आहे” आणि “कनेक्शन वर येऊ शकत नाही” यात फरक करते। मागणीनुसार ट्रॅप धोरण पहिल्या प्रकरणासारखेच वागते, म्हणून त्याला बिघाड म्हणण्यापूर्वी कनेक्शनची सुरुवात सेटिंग वाचा।

मोजणी खरोखर चुकीची असताना

लोड केलेल्या यादीत व्याख्या नसल्यास, संरचनेचे लोडिंग आणि कोणती डेमन प्रत चालू आहे ते पहा। ती लोड झाली पण कधीच बोलणी होत नसेल, तर प्रस्ताव, प्रमाणीकरण संदर्भ आणि निवडक सहकाऱ्याशी तुलना करा, एका वेळी एक चाइल्ड। प्रत्येक प्रयत्नात एक घटक बदला आणि बदललेला ओळखकर्ता नोंदवा। कोणता आहे हे माहीत असल्यास प्रस्ताव मागे घेणे क्षुल्लक आहे; कधीच वेगळे न केलेल्या तीन संपादनांनंतर ते अंदाज आहे।

प्रथम चुकीचे वाचन दुरुस्त करा। “गहाळ” दुसऱ्या बोगद्याबद्दलचे बहुतेक अहवाल एका पालकाखाली दोन स्थापित चाइल्डवर संपतात, आणि कधीच तुटलेली एकमेव गोष्ट म्हणजे लोकांनी पदानुक्रमाऐवजी विश्वास ठेवलेली सारांश ओळ।