एउटा माथि, शून्य जोडिँदै: त्यो strongSwan लाइनले के गन्छ

Security Associations (1 up, 0 connecting) भन्ने स्थिति लाइन पढ्नुहोस् र त्यो एउटा चलिरहेको सुरुङको प्रतिवेदन जस्तो देखिन्छ। दुई सबनेटले एकै समयमा यसबाट ट्राफिक पठाइरहेका छन्, त्यसैले संख्या झुटो बोलिरहेको जस्तो देखिन्छ। त्यो झुटो बोल्दैन; त्यो IKE सम्बन्ध गन्छ, र तीमध्ये एउटाले धेरै चाइल्ड राख्न सक्छ। कुनै प्रस्ताव वा मार्ग छुनु अघि सूचीहरू पढ्नुहोस्।

शीर्षक र ट्राफिक किन मिल्दैनन्

पुरानो stroke आउटपुटले आफ्नो कुललाई सुरक्षा सम्बन्ध भन्छ र त्यसलाई IKE सम्बन्ध प्रबन्धकबाट लिन्छ। प्रत्येक स्थापित IKE सम्बन्धले एउटा थप्छ, त्यसको तल कति CHILD SA छन् भन्ने वास्ता नगरी। एउटा IKEv2 अभिभावकले सामान्यतया धेरै चाइल्ड बोक्छ, प्रत्येक ट्राफिक-चयनक जोडीका लागि एउटा, र चाइल्डका सहमत चयनकहरूले एकभन्दा बढी ठेगाना वा उपसर्ग ढाक्न सक्छन्। त्यसैले तपाईंको कन्फिगरेसनमा ठेगानाहरूको संख्याको शीर्षकको संख्यासँग कुनै निश्चित सम्बन्ध छैन।

आधुनिक आउटपुटले कहिलेकाहीँ पुरानो “up” शब्दको सट्टा कुल देखाउँछ, र swanctl-व्यवस्थित डेमन पुरानो stroke सेटिङले पटक्कै चल्दैन। संस्करणहरूबीच न शब्द मान्नुहोस् न गणनाको नियम।

केही बदल्नु अघि तीन सूची तुलना गर्नुहोस्

के लोड भयो त्यसबाट सुरु गर्नुहोस्, त्यसपछि के सहमत भयो, त्यसपछि केले साँच्चै प्याकेट सार्छ। यी तीन फरक प्रश्न हुन् र प्रत्येकको आफ्नै आदेश छ।

swanctl --list-conns
swanctl --list-sas

पहिलोले डेमनले स्वीकार गरेका जडान परिभाषाहरू सूचीबद्ध गर्छ। दोस्रोले स्थापित IKE सम्बन्धहरू तिनका चाइल्डसँग सूचीबद्ध गर्छ, र साँचो पदानुक्रम त्यहीँ देखिन्छ। फाइलमा भए पनि पहिलो सूचीमा नभएको परिभाषा कहिल्यै लोड भएन, र सुरुवातकर्ताको जतिसुकै पुनःप्रयासले त्यो सुधार्दैन। यसको सट्टा तपाईंले पुरानो इन्टरफेस चलाउनुहुन्छ भने, बराबरको जोडी ipsec statusall र त्यही swanctl सूची हो, कन्फिगरेसन कुन प्लगइनको हो त्यसमा निर्भर। एउटै होस्टमा दुई डेमनबीच औजार नमिसाउनुहोस् र एउटै सुसंगत उत्तर आशा नगर्नुहोस्।

swanctl --list-sas --raw | head -40
ip -s xfrm state

कच्चा रूपले पहिचानकर्ता र चयनकहरूलाई तुलनाका लागि देखिने राख्छ, र कर्नेल स्थिति सूचीले स्ट्याकले के स्थापना गरेको ठान्छ त्यो देखाउँछ। डेमन र कर्नेल नमिल्दा, या त डेमन विद्यमान चाइल्डको वरिपरि पुनः सुरु भयो या कर्नेल वस्तु त्यसको तलबाट हटाइयो।

कुल होइन, पदानुक्रम पढ्नुहोस्

दुई चाइल्ड भएको उदाहरणीय स्थापित अभिभावक तल दुई चाइल्ड भएको एउटा नोड जस्तो देखिन्छ, प्रत्येक आफ्नै स्थिति र मोडले चिन्हित। कसैले ड्यासबोर्डबाट टाँसिएको सारांश पढ्नुको सट्टा वास्तविक आउटपुट निकाल्नुहोस् र चाइल्ड आफै गन्नुहोस्।

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

दुई स्थापित चाइल्ड भएको एउटा अभिभावक स्वस्थ दुई-सबनेट सुरुङ हो। एउटा स्थापित र एउटा अनुपस्थित चाइल्ड भएको अभिभावक फरक अवस्था हो, र हराएको चाइल्डका चयनकहरू नै टाढाको पक्षको प्रस्तावसँग तुलना गर्नुपर्ने कुरा हुन्। कुञ्जी नवीकरणका क्रममा पुरानो चाइल्ड र त्यसको प्रतिस्थापन केही समय सँगै देखिन सक्छन्। स्न्यापसटसँग समय-चिह्न राख्नुहोस्, किनकि नवीकरणको बीचमा लिइएको गणना नक्कल जस्तो देखिन्छ र त्यसपछि लिइएको हानि जस्तो।

लोड गरिएको, स्थापित र ट्राफिक गइरहेको

स्थापित अवस्थामा रहेको चाइल्डसँग सहमत प्यारामिटर र कर्नेलमा प्रविष्टि हुन्छ। तर यसले प्याकेट बोकेकै हुनुपर्दैन: चयनकहरू तपाईंले अपेक्षा गरेको ट्राफिकभन्दा साँघुरा हुन सक्छन्, र सुरुङले देख्नुअघि मार्गले त्यो ट्राफिक अन्तै पठाउन सक्छ। अधिकृत होस्टबाट सहमत चयनकसँग मिल्ने प्रवाह पठाउनुहोस्, त्यसपछि शीर्षकको सट्टा चाइल्डका काउन्टर पढ्नुहोस्। मिल्ने ट्राफिक उत्पन्न गर्दा शून्यमै रहने काउन्टरले IKE होइन, राउटिङ वा नीतितर्फ संकेत गर्छ।

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

नाम भएको चाइल्ड सुरु गर्नु दृश्य नतिजा भएको जानाजान गरिएको कार्य हो, र यसले “कसैले नमागेकाले जडान निष्क्रिय छ” र “जडान माथि आउन सक्दैन” बीच फरक पार्छ। मागअनुसारको ट्र्याप नीति पहिलो अवस्थाजस्तै व्यवहार गर्छ, त्यसैले यसलाई खराबी भन्नुअघि जडानको सुरुवात सेटिङ पढ्नुहोस्।

गणना साँच्चै गलत हुँदा

यदि लोड गरिएको सूचीमा परिभाषा छैन भने, कन्फिगरेसन लोडिङ र कुन डेमन प्रतिलिपि चलिरहेको छ हेर्नुहोस्। यदि त्यो लोड भयो तर कहिल्यै सहमत हुँदैन भने, प्रस्ताव, प्रमाणीकरण सन्दर्भ र चयनक साथीसँग तुलना गर्नुहोस्, एक पटकमा एउटा चाइल्ड। प्रत्येक प्रयासमा एउटा तत्व बदल्नुहोस् र बदलेको पहिचानकर्ता लेख्नुहोस्। कुन हो भन्ने थाहा भएमा प्रस्ताव फर्काउनु सामान्य कुरा हो; कहिल्यै अलग नगरिएका तीन सम्पादनपछि त्यो अनुमान हो।

पहिले गलत पठन सुधार्नुहोस्। “हराएको” दोस्रो सुरुङबारे अधिकांश प्रतिवेदन एउटा अभिभावकमुनि दुई स्थापित चाइल्डसँग टुंगिन्छन्, र कहिल्यै बिग्रिएको एकमात्र कुरा त्यो सारांश लाइन थियो जसलाई मानिसहरूले पदानुक्रमको सट्टा विश्वास गर्थे।