Éin oppe, null knyter seg til: kva den strongSwan-linja tel

Les ei statuslinje som seier Security Associations (1 up, 0 connecting), og ho ser ut som ein rapport om éin tunnel som verkar. To subnett sender trafikk gjennom han samstundes, så talet ser ut til å lyge. Det lyg ikkje; det tel IKE-samband, og eitt av dei kan huse fleire born. Les inventara før du rører ein proposisjon eller ei rute.

Kvifor overskrifta og trafikken ikkje stemmer

Den gamle stroke-utskrifta kallar totalen sin tryggingssamband og leier han ut frå IKE-sambandsbehandlaren. Kvart etablerte IKE-samband bidreg med eitt, uansett kor mange CHILD SA som ligg under det. Éin IKEv2-forelder ber vanlegvis fleire born, eitt per trafikkveljarpar, og dei forhandla veljarane til eit barn kan dekkje meir enn éi adresse eller eitt prefiks. Talet på adresser i konfigurasjonen din har derfor ingen fast relasjon til talet i overskrifta.

Moderne utskrift viser stundom ein total i staden for den gamle formuleringa “up”, og ein swanctl-styrt daemon blir ikkje i det heile styrt av gamle stroke-innstillingar. Ikkje gå ut frå korkje formuleringa eller teljereglane på tvers av versjonar.

Samanlikn tre inventar før du endrar noko

Byrja med det som er lasta, deretter det som er forhandla, deretter det som faktisk flyttar pakkar. Det er tre ulike spørsmål, og kvart har sin eigen kommando.

swanctl --list-conns
swanctl --list-sas

Den første listar opp tilkoplingsdefinisjonane som daemonen godtok. Den andre listar opp etablerte IKE-samband med borna sine, og det er der det verkelege hierarkiet viser seg. Ein definisjon som finst i ei fil, men manglar i den første lista, vart aldri lasta, og ingen mengd nye forsøk frå initiativtakaren rettar det. Viss du i staden køyrer det gamle grensesnittet, er det tilsvarande paret ipsec statusall og den same swanctl-lista, avhengig av kva plugin som eig konfigurasjonen. Ikkje blande verktøy mellom to daemonar på éin vert og vent eitt samanhengande svar.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Råforma held identifikatorar og veljarar synlege for samanlikning, og kjernestatuslista viser kva stakken trur han har installert. Når daemonen og kjernen er usamde, er daemonen anten starta på nytt rundt eit eksisterande barn, eller kjerneobjektet er fjerna under det.

Les hierarkiet, ikkje totalen

Ein illustrerande etablert forelder med to born ser ut som éin node med to born under seg, kvart merkt med sin eigen tilstand og modus. Dump den faktiske utskrifta og tel borna sjølv i staden for å lese eit samandrag nokon har lima inn frå eit dashbord.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Éin forelder med to installerte born er ein sunn tunnel for to subnett. Éin forelder med eitt installert og eitt manglande barn er ein annan situasjon, og veljarane til det manglande barnet er det som skal samanliknast med proposisjonen frå den fjerne sida. Under nøkkelfornying kan eit gammalt barn og erstattaren deira begge dukke opp i eit kort vindauge. Ta vare på tidsstempelet saman med augeblinksbiletet, for ei teljing teken midt i fornyinga ser ut som duplisering, og ei teljing teken etterpå ser ut som tap.

Lasta, installert og trafikk som passerer

Eit barn i installert tilstand har forhandla parameterar og ein kjerneoppføring. Men det har ikkje nødvendigvis bore ein pakke: veljarar kan vere smalare enn trafikken du ventar, og ei rute kan sende den trafikken ein annan stad før tunnelen i det heile ser han. Send ein straum som svarar til dei forhandla veljarane frå ein autorisert vert, og les deretter teljarane til barnet i staden for overskrifta. Ein teljar som blir ståande på null medan du genererer samsvarande trafikk, peikar på ruting eller policy, ikkje på IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Å starte eit namngjeve barn er ei medviten handling med eit synleg resultat, og ho skil “sambandet er ledig fordi ingen bad om det” frå “sambandet kan ikkje kome opp”. Ein trap-policy på førespurnad oppfører seg nøyaktig som det første tilfellet, så les startinnstillinga til sambandet før du kallar det ein feil.

Når teljinga verkeleg er feil

Viss ein definisjon manglar i det innlasta inventaret, sjå på innlastinga av konfigurasjonen og kva daemon-instans som køyrer. Viss han er lasta, men aldri forhandlar, samanlikn proposisjonar, autentiseringskontekst og veljarar med motparten, eitt barn om gongen. Endre eitt element per forsøk, og noter identifikatoren du endra. Å rulle tilbake ein proposisjon er trivielt når du veit kva ein; det er gissing etter tre endringar som aldri vart skilde.

Rett opp feillesinga først. Dei fleste rapportane om ein “manglande” andre tunnel endar med to installerte born under éin forelder, og det einaste som nokon gong var øydelagt, var samandragslinja folk stolte på i staden for hierarkiet.