strongSwan د peer له بیا پیل وروسته ښکته پاتې کیږي: یو تونل بېرته ترلاسه کړئ

لرې دروازه بیا پیل کیږي، په یوه دقیقه کې بېرته راځي، او سیمه ایز strongSwan daemon کار ته دوام ورکوي په داسې حال کې چې تونل لا هم ښکته دی۔ یو cron کار چې ESTABLISHED لټوي او daemon بیا پیلوي، په پای کې به دا پټ کړي، او په ماشین کې به هر بې اړیکه تونل هم پرې کړي، او کېدای شي هغه تونل چې پاتې راغلی له لاسه ورکړي۔ بېرته ترلاسه کول د هغې اړیکې دي چې باید بېرته راشي، په هغو تنظیماتو کې بیان شوي چې reload ته دوام ورکوي۔ دا runbook دا یوې اړیکې لپاره چمتو کوي او پایله د نوم له مخې ثابتوي۔

له نړیوال بیا پیل څخه تېر شئ، د هغې شواهد وساتئ

د daemon بیا پیل دوه ځانګړي نیمګړتیاوې لري: دا د هرې اړیکې حالت خرابوي، او تاسو ته نه وایي چې کومه پیښه واقعاً پاتې راغله۔ هغه حالت متن چې تاسو لټولی شاید له بلې اړیکې راغلی وي، پداسې حال کې چې اړین child بې کاره پاتې شو ځکه چې هیڅ شي هغه پیل نه کړ۔

د هر څه بدلولو دمخه بار شوې اړیکې او فعالې ټولنې ولولئ، ترڅو ستاسو سره د peer له بېرته راتلو وروسته د پرتله کولو لپاره پخوانۍ انځور وي۔

swanctl --list-conns
swanctl --list-sas

پیل او بیا هڅې پر هغې اړیکه کېږدئ چې بېرته راځي

په swanctl.conf ځای پرځای کولو کې دا تنظیمات د نړیوالې تګلارې پرځای د اړیکې او child په کچه اوسي۔ لاندې ټوټه د پیل کوونکي اړخ بېلګه ده چې فرض کوي وړاندیزونه، تصدیق او ټاکونکي دمخه سم دي۔

connections {
    branch {
        keyingtries = 0
        dpd_delay = 30s
        children {
            private-lan {
                start_action = trap|start
                dpd_action = restart
            }
        }
    }
}

start_action فیصله کوي چې کله child بار شي څه پیږي: start سمدلاسه پیل کیږي، پداسې حال کې چې trap هغه تګلاره نصبوي چې سمونکي ترافیک راڅرګند شي پیل فعالوي۔ trap|start لیکل strongSwan 5.9.6 یا نوی غواړي، نو د کرښې کاپي کولو دمخه نسخه وګورئ۔ dpd_action=restart د peer مړ اعلانیدو سره سم نوي خبرې اترې غواړي، او د اړیکې کچې keyingtries=0 تر بریا یا دایمي خطا پورې نورې هڅې اجازه ورکوي۔ د IKEv2 لاندې dpd_timeout هیڅ اغیزه نه لري، ځکه چې عادي بیا لېږل فیصله کوي چې peer کله ځواب نه ورکوي۔

په دې بېلګه کې ځنډ د پیل نقطه ده، نه نړیواله موده۔ هغه د peer د بیا پیل وخت او د دې چې څومره بیا لېږل زغملای شئ پر بنسټ وټاکئ۔

پوه شئ چې له کومې پیښې بېرته ترلاسه کوئ

درې نیمګړتیاوې په ډشبورډ کې ورته ښکاري او بېلابېل تنظیمات غواړي۔ هغه لومړنۍ اړیکه چې هیڅکله پورته نه شوه د ترتیباتو یا لاسرسي ستونزه ده۔ هغه peer چې ځواب ورکول بند کړل د DPD قضیه ده۔ هغه child چې peer په څرګند ډول وتړلو د تګلارې پیښه ده چې خپله close_action لري، کوم چې DPD هیڅکله نه ګوري۔ د پرې کیدو شاوخوا log لوستل تاسو ته وایي چې له دریو کوم یو لرئ، او ځواب حل بدلوي۔

هغه اړیکې چې عملیات کوونکي یې د ساتنې لپاره په قصد وتړي، تېريیز بیا پیل ورزیات نه کړئ، که نه تونل د کړکۍ په مینځ کې بیا ښکاري۔ د غوښتنې پر بنسټ ډیزاینونو لپاره ساتل شوی trap بس دی، ځکه سمونکي ترافیک child بې له کوم ټایمر بیا جوړوي۔

د daemon حالت نه، د نوم له مخې وګورئ

تر هغه چې peer لا ښکته دی اړیکه او د هغې child د نوم له مخې ولولئ، بیا یې کله چې بېرته راشي بیا ولولئ؛ د دې دوو پایلو توپیر شاهد دی۔

swanctl --initiate --child private-lan
swanctl --terminate --ike branch

بیا اړیکه نه، خدمت تایید کړئ۔ نوې child امنیتي ټولنه او د هغې شاته شخصي منزل ته بریالۍ غوښتنه—دا دوه حقیقتونه مهم دي، او روغ بې اړیکه تونل سره روان daemon دواړه نه ثابتوي۔

که child هیڅکله پیل نه شو، وګورئ چې ازموینه ترافیک له ټاکل شوو ټاکونکو سره سمون خوري، پروتوکول او پورټ په ګډون۔ که پیل شو او پاتې راغی، د بې پایه کړۍ شاته پټولو پرځای د تصدیق یا وړاندیز خطا ولولئ، ځکه keyingtries=0 دایمي رد تل تکراروي۔

بدلون په کړکۍ کې بار کړئ او بیا یې ازموئ

Reload د daemon له بیا پیل څخه خوندي دی، او بیا هم وړیا نه دی: child بدلول یا لرې کول کېدای شي پیل شوې ټولنه وتړي یا د هغې trap وغورځوي۔

د ساتنې کړکۍ په جریان کې بار کړئ، پخوانی فایل وساتئ، او تایید کړئ چې اړیکه د خپلو ټاکلو تنظیماتو سره ښکاري نه د ډیفالټ سره۔

swanctl --load-conns
swanctl --list-conns

پخوانی فایل بېرته راوړلو او بیا بار کولو سره بېرته لاړ شئ، بیا هغه دوه کمانډونه تکرار کړئ۔ هغه تونل چې یوازې د daemon له بیا پیل وروسته بېرته راځي، ترمیم شوی نه دی، بیا تنظیم شوی دی۔