Wieħed fuq, żero jikkonnettja: x’jgħodd dik il-linja strongSwan

Aqra linja tal-istat li tgħid Security Associations (1 up, 0 connecting) u tidher bħal rapport dwar mina waħda li qed taħdem. Żewġ subnets qed jgħaddu traffiku minnha fl-istess ħin, għalhekk in-numru jidher li qed jigdeb. Mhix qed tigdeb; qed tgħodd assoċjazzjonijiet IKE, u waħda minnhom tista’ tospita diversi tfal. Aqra l-inventarji qabel ma tmiss proposta jew rotta.

Għaliex it-titlu u t-traffiku ma jaqblux

Il-ħruġ antik ta’ stroke isejjaħ it-total tiegħu assoċjazzjonijiet tas-sigurtà u joħorġu mill-maniġer tal-assoċjazzjonijiet IKE. Kull assoċjazzjoni IKE stabbilita żżid waħda, irrispettivament minn kemm hemm CHILD SA taħtha. Ġenitur wieħed IKEv2 normalment iġorr diversi tfal, wieħed għal kull par ta’ seletturi tat-traffiku, u s-seletturi nnegozjati ta’ tifel jistgħu jkopru aktar minn indirizz jew prefiss wieħed. Għalhekk in-numru ta’ indirizzi fil-konfigurazzjoni tiegħek m’għandux relazzjoni fissa man-numru fit-titlu.

Il-ħruġ modern xi kultant juri total minflok il-kliem antik “up”, u daemon immexxi minn swanctl lanqas biss huwa mmexxi mis-settings antiki ta’ stroke. Tieħu xejn bħala fatt, la l-kliem u lanqas ir-regola tal-għadd bejn il-verżjonijiet.

Qabbel tliet inventarji qabel ma tbiddel xejn

Ibda b’dak li hu mgħobbi, imbagħad b’dak li hu nnegozjat, imbagħad b’dak li verament iċaqlaq il-pakketti. Dawn huma tliet mistoqsijiet differenti u kull wieħed għandu l-kmand tiegħu.

swanctl --list-conns
swanctl --list-sas

L-ewwel telenka d-definizzjonijiet tal-konnessjoni li aċċetta d-daemon. It-tieni telenka l-assoċjazzjonijiet IKE stabbiliti mat-tfal tagħhom, u hemmhekk tidher il-ġerarkija vera. Definizzjoni li tinsab f’fajl imma li mhix fl-ewwel lista qatt ma ġiet mgħobbija, u l-ebda numru ta’ tentattivi mill-ġdid tal-inizjatur ma jsewwiha. Jekk minflok tmexxi l-interface antika, il-par ekwivalenti huwa ipsec statusall u l-istess lista swanctl, skont liema plugin jippossjedi l-konfigurazzjoni. Tħallatx għodod bejn żewġ daemons fuq host wieħed u tistenniex tweġiba waħda koerenti.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Il-forma mhux maħduma żżomm l-identifikaturi u s-seletturi viżibbli għat-tqabbil, u l-lista tal-istat tal-qalba turi x’jaħseb li installa l-munzell. Meta d-daemon u l-qalba ma jaqblux, jew id-daemon ġie mibdi mill-ġdid madwar tifel eżistenti jew l-oġġett tal-qalba tneħħa minn taħtu.

Aqra l-ġerarkija, mhux it-total

Ġenitur stabbilit illustrattiv b’żewġ tfal jidher bħal nod wieħed b’żewġ tfal taħtu, kull wieħed immarkat bl-istat u l-mod tiegħu. Iddem il-ħruġ attwali u għodd it-tfal inti stess minflok taqra sommarju li xi ħadd waħħal minn dashboard.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Ġenitur wieħed b’żewġ tfal installati huwa mina b’saħħitha ta’ żewġ subnets. Ġenitur wieħed b’tifel installat u tifel nieqes hija sitwazzjoni oħra, u s-seletturi tat-tifel nieqes huma dak li għandu jitqabbel mal-proposta tan-naħa l-bogħida. Matul it-tiġdid taċ-ċwievet, tifel antik u s-sostitut tiegħu jistgħu jidhru flimkien għal żmien qasir. Żomm il-marka tal-ħin mal-qabda, għax għadd meħud f’nofs it-tiġdid jidher bħal duplikazzjoni u għadd meħud warajh jidher bħal telf.

Mgħobbi, installat u traffiku li jgħaddi

Tifel fl-istat installat għandu parametri nnegozjati u entrata fil-qalba. Imma mhux bilfors ġarr pakkett: is-seletturi jistgħu jkunu idjaq mit-traffiku li tistenna, u rotta tista’ tibgħat dak it-traffiku band’oħra qabel il-mina tarah. Ibgħat fluss li jaqbel mas-seletturi nnegozjati minn host awtorizzat, imbagħad aqra l-counter tat-tifel minflok it-titlu. Counter li jibqa’ fi żero waqt li qed tiġġenera traffiku li jaqbel jindika r-routing jew il-politika, mhux IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Li tibda tifel imsemmi hija azzjoni deliberata b’riżultat viżibbli, u tifred “il-konnessjoni hija idle għax ħadd ma talabha” minn “il-konnessjoni ma tistax titla’”. Politika ta’ nassa fuq talba tġib ruħha eżattament bħall-ewwel każ, għalhekk aqra s-setting tal-bidu tal-konnessjoni qabel issejħilha ħsara.

Meta l-għadd tassew ikun ħażin

Jekk definizzjoni hija nieqsa mill-inventarju mgħobbi, ħares lejn it-tagħbija tal-konfigurazzjoni u liema istanza tad-daemon qed taħdem. Jekk hija mgħobbija imma qatt ma tinnegozja, qabbel proposti, kuntest ta’ awtentikazzjoni u seletturi mal-pari, tifel wieħed kull darba. Ibdel element wieħed kull prova u nnota l-identifikatur li bdilt. Li treġġa’ proposta lura huwa trivjali meta tkun taf liema waħda; huwa stima wara tliet modifiki li qatt ma nfirdu.

Irranġa l-ewwel il-qari ħażin. Il-biċċa l-kbira tar-rapporti dwar it-tieni mina “nieqsa” jispiċċaw b’żewġ tfal installati taħt ġenitur wieħed, u l-unika ħaġa li qatt kienet miksura kienet il-linja tas-sommarju li n-nies fdaw minflok il-ġerarkija.