بار شوی strongSwan پروفایل فعال تونل نه دی
strongSwan تعریفونه باروي او بیا د IKE او CHILD SA په اړه خبرې اترې کوي. د پروفایل بارېدل هېڅ نه وایي چې تونل شته که نه یا څوک یې پیلوي.
په strongSwan کنفیګوریشن کې د یوې اړیکې لیست کول یوازې دا ثابتوي چې یوه تعریف بار شوی۔ دا نه مانا لري چې له سیال سره اړیکه نیول شوې، نه چې IKE SA شته، او نه چې کومه ترافیک خوندي دی۔ ډیمون تعریفونه او ژوندي اتحادیې د جلا شیانو په توګه ګڼي، او د دوی ترمنځ فاصله یوه ارادي ډیزاین پرېکړه ده۔ دا پوهه چې کوم شی ګورئ، یوه مبهمه خرابي په راتلونکي مشخص امر بدلوي۔
بارول نښلول نه دي
بار شوې اړیکه یوه اعلامیه ده چې وروسته څه شيان خبرې اترې کېدای شي: د سیال پتې، اعتبارنامې، وړاندیزونه او د ترافیک ټاکونکي۔ په دې اعلامیه کې هېڅ شی د دې غوښتنه نه کوي چې ډیمون کس ته زنګ وهلی وي۔ یو دروازه کولای شي د بل اړخ انتظار وکړي، په پیل کې پخپله پیل وکړي، یا د مناسب ترافیک د ویښولو انتظار وکړي۔ درې واړه سم دي او درې واړه د پیل تر پالیسۍ لوستلو پورې په کنفیګوریشن فایل کې ورته ښکاري۔
چلونکي د تعریفونو لیست د حالت لیست په توګه لوستلو سره ستونزه پیدا کوي۔ پروفایل شته، نو تونل فعال ګڼل کیږي، او راتلونکې ساعت د داسې اتحادیې د لارو د خرابۍ په سمولو تیرېږي چې هېڅکله نه ده جوړه شوې۔
په عکس کې همدا تېروتنه هماغسې عامه ده۔ نه شته پروفایل خلک د شبکې د خرابۍ په لټه کې لیږي، په داسې حال کې چې کنفیګوریشن هېڅکله نه دی بار شوی۔ شی ونوموئ، بیا هغه امر وچلوئ چې هغه څاري۔
درې شیان، درې څارنې
strongSwan یو بار شوی تعریف، یوه IKE SA او یوه CHILD SA ساتي۔ لومړی کنفیګوریشن دی، دویمه تصدیق شوې کنټرول اړیکه ده او درېیمه د ټاکل شوې ترافیک لپاره خبرې اترې شوې ساتنه ده۔ حتی جلا نومونه لري، نو د hq په نامه پروفایل کولای شي د hq-lan په نامه child ولري۔
جدول هر پوړ هغه امر سره نښلوي چې هغه ښیي۔ د لاګ لوستلو دمخه کرښه ولولئ۔
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
د child غوښتنه لومړی د هغه مورني IKE SA جوړوي کله چې هېڅ نه وي۔ یوازې د IKE SA غوښتنه بله بلنه ده۔ هغه کنټرول چینل چې سم تصدیق کېږي، غوښتل شوی child تضمین نه کوي۔
دا توپیر د جزوي خرابۍ پر مهال مهم دی۔ IKE SA کولای شي روغ وي په داسې حال کې چې child د ټاکونکي د ناهمغږۍ یا د هغې وړاندیز له امله ناکام شي چې سیال یې نه مني۔ دواړه شیان په بېلو دلایلو ناکام شي، نو د جلا څارنو وړ دي۔
د پیل عمل په پوهه سره وټاکئ
په swanctl.conf کې د child start_action د بارېدو وروسته چلند ټاکي۔ تلواله none تعریف د لاسي پیل یا responder په توګه د کارولو لپاره پریږدي۔ start هغه غږوي، په داسې حال کې چې trap هغه پالیسي پریږدي چې سمدلاسه خبرې اترې کوي کله چې مناسبه ترافیک راڅرګنده شي۔
نو هم «بارول هېڅکله تونل نه پیلوي» او هم «بارول تل یو پیلوي» ناسم دي۔ عمل د پروفایل برخه ده او باید د سیال رول سره سمون ولري۔ دوه دروازې چې دواړه د بل اړخ انتظار کوي غلطۍ پیدا کوي، نه تونل۔
د trap سره ترافیک باید له ټاکونکو سره سمون ولري، نو بې اړیکې ping هېڅ نه ویښوي۔ د start سره د سیال پته باید د کارولو وړ وي او دواړه خواوې باید د تصدیق او وړاندیزونو په اړه سلا شي۔ د دواړو عملونو څخه هېڅ یو د دغو شرایطو د کتلو ځای نه نیسي۔
بیا رغونه جلا پالیسي ده
پیل keepalive نه دی۔ د مړ سیال کشف، د سیال له خوا روښانه بندول، د کیلیدو تازه کول او د بهیر بیا پیلول د ژوند دورې بېلابېلې پېښې دي چې خپل تنظیمات لري۔ هر یو یې په پوهه سره تنظیم کړئ، د دې پرځای چې د لومړني پیل څخه د ټولو پوښلو تمه وکړئ۔
هغه تونل چې په بوټ کې پورته شي او یو ساعت وروسته مړ شي، د بیا رغونې پوښتنه ده۔ د پیل پالیسي خپله کار وکړ او بیا مهم نه شو۔ د لومړنیو خبرو اترو تورنولو دمخه DPD او د کیلیدو د تازه کولو تنظیمات وګورئ۔
د بار شوو تعریفونو بدلول جلا عملیات دي۔ غیر تلواله پیل پالیسیو مستند شوي معکوس عملونه لري، او بیا بارول یو عملیاتي بدلون دی نه دا انګېرنه چې هره اتحادیه په خپل ځای تازه شوې۔ بیا بارول په مرحلو کې ترسره کړئ چېرې چې بیا نښلول منل کېدای شي۔ زاړه کنفیګوریشن وساتئ تر څو چې نوی ثابت شي۔
د لارښوونې د خرابۍ دمخه وګورئ څه شته
درې څارنې په ترتیب سره ترسره کړئ: بار شوي تعریفونه، فعال IKE SA او child ننوتنې۔ هر ځواب بل پوښتنه تنګوي۔ یو ګام پریږدئ او په پای کې به هغه پوړ سمولئ چې هېڅکله نه دی جوړ شوی۔
له هغه څه پیل وکړئ چې بار دي او له هغه څه چې واقعاً ټینګ شوي:
swanctl --list-conns
swanctl --list-sasکه child نه وي او پروفایل سم وي، هغه په نوم پیل کړئ او وګورئ څه پېږي۔ پایله معمولاً وایي چې مورني لومړی پورته شو که نه۔
swanctl --initiate --child hq-lanفعاله CHILD SA پای کرښه نه ده۔ د لېږد قواعد، لارې او د اپلیکېشن خپل اجازه باید لا هم سمون ولري۔ ژوند دورې ځواب وایي چې څه خبرې اترې شوې؛ دا نشي کولای پرېکړه وکړي چې څوک کولای شي خدمت وکاروي۔