strongSwan jibqa’ ’l isfel wara reboot tal-peer: irkupra mina waħda

Ħalli r-restart tad-daemon. Qiegħed il-bidu u d-DPD fuq il-konnessjoni li trid terġa’ lura, imbagħad ivverifika bl-isem u uri s-servizz, mhux id-daemon.

Il-gateway remot jerġa’ jibda, jiġi lura fi żmien minuta, u d-daemon strongSwan lokali jkompli jaħdem filwaqt li l-mina għadha ’l isfel. Xogħol cron li jagħmel grep ta’ ESTABLISHED u jerġa’ jibda d-daemon fl-aħħar jgħatti dan, u se jinterrompi wkoll kull mina mhux relatata fuq il-magna filwaqt li forsi jitlef dik li falliet. L-irkupru jappartjeni għall-konnessjoni li trid terġa’ lura, espress f’settings li jgħaddu minn reload. Dan ir-runbook iħejji dan għal konnessjoni waħda u jipprova r-riżultat bl-isem.

Ħalli r-restart globali, żomm l-evidenza tiegħu

Restart tad-daemon iġorr żewġ difetti speċifiċi: jeqred l-istat ta’ kull konnessjoni, u ma jgħidlek xejn dwar liema avveniment fil-fatt falla. It-test tal-istat li grepjajt jista’ jkun ġie minn konnessjoni oħra, filwaqt li l-child meħtieġ baqa’ wieqaf għax xejn ma attivah.

Aqra l-konnessjonijiet mgħobbija u l-assoċjazzjonijiet attivi qabel tibdel xejn, sabiex ikollok stampa ta’ qabel biex tqabbel magħha wara li l-peer jerġa’ lura.

swanctl --list-conns
swanctl --list-sas

Qiegħed il-bidu u l-provi mill-ġdid fuq il-konnessjoni li terġa’ lura

F’implimentazzjoni ta’ swanctl.conf dawn is-settings jgħixu fil-livell tal-konnessjoni u tal-child, mhux f’politika globali. Is-silta ta’ hawn taħt hija eżempju min-naħa tal-inizjatur li jassumi li l-proposti, l-awtentikazzjoni u s-seletturi huma diġà korretti.

connections {
    branch {
        keyingtries = 0
        dpd_delay = 30s
        children {
            private-lan {
                start_action = trap|start
                dpd_action = restart
            }
        }
    }
}

start_action jiddeċiedi x’jiġri meta l-child jiġi mgħobbi: start jibda minnufih, filwaqt li trap jinstalla politika li tiskatta l-bidu meta jidher traffiku li jaqbel. Biex tikteb trap|start teħtieġ strongSwan 5.9.6 jew aktar ġdid, għalhekk iċċekkja l-verżjoni qabel ma tikkopja l-linja. dpd_action=restart jitlob negozjati ġodda hekk kif il-peer jiġi ddikjarat mejjet, u keyingtries=0 fil-livell tal-konnessjoni jippermetti aktar provi sa suċċess jew żball permanenti. Taħt IKEv2, dpd_timeout m’għandu l-ebda effett, għax it-trażmissjoni mill-ġdid ordinarja tiddeċiedi meta l-peer ma jweġibx.

Id-dewmien f’dak l-eżempju huwa punt tat-tluq, mhux skadenza universali. Agħżlu skont kemm iddum ir-reboot tal-peer u kemm trażmissjoni mill-ġdid int lest tiflaħ.

Af li minn liema avveniment qed tirkupra

Tliet fallimenti jidhru l-istess fuq dashboard u jeħtieġu settings differenti. Konnessjoni inizjali li qatt ma telgħet hija problema ta’ konfigurazzjoni jew aċċessabbiltà. Peer li waqaf iwieġeb huwa l-każ tad-DPD. Child li l-peer għalaq b’mod espliċitu huwa avveniment ta’ politika bil-close_action tiegħu stess, li d-DPD qatt ma josserva. Li taqra l-log madwar it-tfixkil jgħidlek liema mit-tlieta għandek, u t-tweġiba tbiddel it-tiswija.

Tżidx bidu mill-ġdid aggressiv ma’ konnessjoni li l-operaturi jagħlqu apposta għall-manutenzjoni, inkella l-mina terġa’ tidher f’nofs it-tieqa. Għal disinni fuq talba, trap miżmum huwa biżżejjed, għax it-traffiku li jaqbel jerġa’ jistabbilixxi l-child mingħajr ebda timer.

Ivverifika bl-isem, mhux bl-istat tad-daemon

Aqra l-konnessjoni u l-child tagħha bl-isem waqt li l-peer għadu ’l isfel, u mbagħad għal darba oħra meta jerġa’ lura; id-differenza bejn dawn iż-żewġ output hija l-prova.

swanctl --initiate --child private-lan
swanctl --terminate --ike branch

Imbagħad ikkonferma s-servizz u mhux l-assoċjazzjoni. Assoċjazzjoni tas-sigurtà tal-child friska flimkien ma’ talba b’suċċess lid-destinazzjoni privata warajha huma l-par fatti li jgħodd, u daemon li qed jaħdem b’mina mhux relatata f’saħħitha ma jipprova l-ebda waħda.

Jekk il-child qatt ma jibda, iċċekkja li t-traffiku tat-test jaqbel eżatt mas-seletturi kkonfigurati, inkluż protokoll u port. Jekk jibda u jfalli, aqra l-iżball tal-awtentikazzjoni jew tal-proposta minflok ma taħbih wara linja infinita, għax keyingtries=0 se jtenni ċaħda permanenti għal dejjem.

Għabbi l-bidla f’tieqa u erġa’ ttestja

Reload huwa aktar sigur milli terġa’ tibda d-daemon, u xorta mhuwiex b’xejn: tissostitwixxi jew tniżżel child jista’ jagħlaq assoċjazzjoni mibdija jew iwaqqa’ t-trap tiegħu.

Għabbi waqt tieqa tal-manutenzjoni, żomm il-fajl preċedenti, u kkonferma li l-konnessjoni tidher bis-settings li kellek f’moħħok u mhux bil-defaults.

swanctl --load-conns
swanctl --list-conns

Irrollja lura billi tirrestawra l-fajl preċedenti u terġa’ tgħabbih, imbagħad erġa’ agħmel l-istess żewġ kmandi. Mina li terġa’ lura biss wara restart tad-daemon ma tkunx ġiet imsewwija, tkun ġiet reset.

Artikli relatati