Profil strongSwan mgħobbi mhuwiex tunnel attiv
strongSwan jgħabbi d-definizzjonijiet, imbagħad jinnegozja s-SA tal-IKE u CHILD. Il-fatt li profil ikun mgħobbi ma jgħid xejn dwar jekk teżistix tunnel jew min jibdiha.
Li telenka konnessjoni fil-konfigurazzjoni ta' strongSwan jipprova biss li definizzjoni ġiet mgħobbija. Ma jfissirx li l-peer ġie kkuntattjat, li teżisti IKE-SA jew li xi traffiku huwa protett. Id-daemon jittratta d-definizzjonijiet u l-assoċjazzjonijiet ħajjin bħala oġġetti separati, u d-distanza bejniethom hija għażla tad-disinn deliberata. Li tkun taf liema oġġett qed tispezzjona jibdel falliment vag f'kmand li jmiss konkret.
It-tagħbija mhix konnessjoni
Konnessjoni mgħobbija hija dikjarazzjoni ta' dak li jista' jiġi nnegozjat aktar tard: indirizzi tal-peer, kredenzjali, proposti u seletturi tat-traffiku. Xejn f'dik id-dikjarazzjoni ma jesiġi li d-daemon ċempel lil xi ħadd. Gateway jista' jistenna n-naħa l-oħra, jibda mal-boot, jew jistenna li traffiku li jaqbel iqajmu. It-tlieta huma validi, u t-tlieta jidhru identiċi fil-fajl tal-konfigurazzjoni sakemm taqra l-politika tal-bidu.
L-operaturi jidħlu fi problemi meta jaqraw il-lista tad-definizzjonijiet bħala lista tal-istat. Il-profil hemm, għalhekk wieħed jassumi li t-tunnel hija attiva, u s-siegħa li jmiss tmur f'li jiddekubja rotot għal assoċjazzjoni li qatt ma nbniet.
L-iżball oppost huwa daqstant komuni. Profil nieqes jibgħat lin-nies ifittxu falliment tan-netwerk meta l-konfigurazzjoni qatt ma ġiet mgħobbija. Semmi l-oġġett, imbagħad ħaddem il-kmand li josservah.
Tliet oġġetti, tliet osservazzjonijiet
strongSwan iżomm definizzjoni mgħobbija, IKE-SA u CHILD-SA. L-ewwel hija konfigurazzjoni, it-tieni hija relazzjoni ta' kontroll awtentikata, u t-tielet hija protezzjoni nnegozjata għat-traffiku magħżul. Saħansitra għandhom ismijiet separati, għalhekk profil imsejjaħ hq jista' jkollu child imsejjaħ hq-lan.
It-tabella torbot kull saff mal-kmand li jurih. Aqra r-ringiela qabel taqra l-log.
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
Li titlob il-child jibni l-ewwel l-IKE-SA ġenitur tiegħu meta ma teżisti ebda waħda. Li titlob biss l-IKE-SA huwa sejħa oħra. Kanal ta' kontroll li jawtentika sew ma jiggarantixxix il-child li tlabt.
Differenza bħal din timporta waqt falliment parzjali. IKE-SA tista' tkun f'saħħitha filwaqt li l-child ifalli fuq nuqqas ta' qbil fis-selettur jew proposta li l-peer ma jaċċettax. Iż-żewġ oġġetti jfallu għal raġunijiet differenti, għalhekk jistħoqqilhom osservazzjonijiet separati.
Agħżel l-azzjoni tal-bidu b'mod deliberat
Fi swanctl.conf, l-start_action ta' child jiddeċiedi l-imġieba wara t-tagħbija. Il-valur awtomatiku none iħalli d-definizzjoni għal bidu manwali jew użu bħala responder. start isejħilha, filwaqt li trap iħalli politika li tinnegozja malli jidher traffiku li jaqbel.
Għalhekk kemm «it-tagħbija qatt ma tibda tunnel» kif ukoll «it-tagħbija dejjem tibda waħda» huma żbaljati. L-azzjoni hija parti mill-profil, u għandha taqbel mar-rwol tal-peer. Żewġ gateways li t-tnejn jistennew in-naħa l-oħra jipproduċu silenzju, mhux tunnel.
B'trap, it-traffiku jrid jaqbel mas-seletturi, għalhekk ping mhux relatat ma jqajjem xejn. B'start, l-indirizz tal-peer irid ikun użabbli u ż-żewġ naħat iridu jaqblu dwar l-awtentikazzjoni u l-proposti. Ebda waħda miż-żewġ azzjonijiet ma tissostitwixxi l-verifika ta' dawn il-kundizzjonijiet.
L-irkupru hija politika separata
Il-bidu mhuwiex keepalive. Is-sejbien ta' peer mejjet, l-għeluq espliċitu mill-peer, it-tiġdid taċ-ċwievet u l-bdil mill-ġdid tal-proċess huma avvenimenti differenti taċ-ċiklu tal-ħajja bi settings tagħhom. Ikkonfigura kull wieħed b'mod deliberat minflok ma tistenna li bidu inizjali jkoprihom kollha.
Tunnel li titla' mal-boot u tmut siegħa wara hija kwistjoni ta' rkupru. Il-politika tal-bidu għamlet xogħolha u mbagħad baqgħet ma timportax. Ħares lejn is-settings tad-DPD u tat-tiġdid taċ-ċwievet qabel ma tagħti l-ħtija lin-negozjazzjoni inizjali.
Is-sostituzzjoni ta' definizzjonijiet mgħobbija hija operazzjoni għaliha nnifisha. Politiki tal-bidu mhux awtomatiċi għandhom azzjonijiet inversi dokumentati, u rikarigu hija bidla operattiva aktar milli suppożizzjoni li kull assoċjazzjoni ġiet aġġornata fil-post. Agħmel ir-rikarigi fi stadji, fejn rikonnessjoni hija aċċettabbli. Żomm il-konfigurazzjoni l-qadima sakemm dik il-ġdida tiġi ppruvata.
Iċċekkja x'jeżisti qabel ma tiddekubja r-rottaġġ
Ħaddem it-tliet osservazzjonijiet fl-ordni: definizzjonijiet mgħobbija, IKE-SA attivi u entrati child. Kull tweġiba tidjjaq il-mistoqsija li jmiss. Aqbeż pass u tispiċċa tiddekubja saff li qatt ma nbniet.
Ibda b'dak li huwa mgħobbi u b'dak li huwa tassew stabbilit:
swanctl --list-conns
swanctl --list-sasJekk il-child nieqes filwaqt li l-profil huwa korrett, ibdiha bl-isem u ara x'jiġri. L-output normalment jgħid jekk il-ġenitur telax l-ewwel.
swanctl --initiate --child hq-lanCHILD-SA attiva mhijiex il-linja tal-mira. Regoli ta' forwarding, rotot u l-awtorizzazzjoni tal-applikazzjoni nnifisha għad iridu jaqblu. Iċ-ċiklu tal-ħajja jwieġeb x'ġie nnegozjat; ma jistax jiddeċiedi min jista' juża s-servizz.