په strongSwan کې د trap حالت: IPsec تونل ولې د ترافیک انتظار کوي

په حالت خروجي کې هېڅ CHILD SA نه ښکاري، تونل مړ ښکاري، او بیا لرې سبنیټ ته یو ping هغه پورته راولي۔ په on-demand IPsec ترتیب کې دا ترتیب ډیزاین دی، نه خرابي۔ trap پالیسي یو انتخاب کوونکی نصبوي او انتظار کوي، او لومړنۍ بسته چې ورسره سمه وي هغه IKE او د CHILD SA خبرې اترې پیلوي۔

د ګډوډۍ یوه برخه لغت دی: «up» د دوو بېلو حالتونو لپاره کارول کیږي۔ تشکیلات بار شوي او د کرنل پالیسي شتون لري, خو د معلوماتو ټولګه نشته۔ یو مانیټر چې یوازې فعال SA ګڼي به روغ سایټ د بند په توګه راپور کړي تر څو چې څوک هغې ته ترافیک ونه لېږي۔

غیر فعال on-demand تونل د ښودلو لپاره CHILD SA نه لري

trap ننوتنه په خپله هیڅ نه تصدیقوي۔ دا له کرنل څخه غواړي چې د ټاکل شوي ترافیک لپاره پالیسي وساتي او کله چې یوې بستې ته هغه پالیسي اړینه وي acquisition پورته کړي۔ ډیمون acquisition ترلاسه کوي، له child تعریف سره یې سمون ورکوي او له هماغه ځایه خبرې اترې کوي۔ تر هغې شېبې پورې د ښودلو لپاره IKE SA هم نشته، ځکه دواړه لیستونه کولای شي یوځای خالي وي۔

همدا ترتیب لاګونه لوستلو وړ کوي۔ لومړی acquisition راځي، بیا IKE_SA_INIT او IKE_AUTH، بیا CHILD SA۔ که لاګ د acquisition وروسته سمدلاسه پای ته ورسیږي، ټریګر کار وکړ۔ خبرې اترې ناکامې شوې، او بل پوښتنه د trap په اړه نه، بلکې د اعتبارنامې، وړاندیزونو یا رسیدو په اړه ده۔

د Linux کرنل بیک انډ سره تاسو کولای شئ پالیسي له هر SA څخه مخکې وګورئ۔ دا چل کړئ ip xfrm policy او هغه انتخاب کوونکی ولټوئ چې لوري out او اړیکې ته اشاره کوونکی ټیمپلیټ لري۔ همغه ننوتنه on-demand حالت دی، او د هغې شتون لومړی هغه څه دي چې باید تایید شي۔

start_action فیصله کوي چې ایا څه به انتظار وکړي که نه

هر child swanctl.conf کې start_action. start د تشکیلاتو د بار کیدو پر مهال پیل کیږي، trap پالیسي نصبوي او انتظار کوي، او none پیل بل څه ته پرېږدي۔ یوازې trap پورته تشریح شوی «ping او هغه پورته راځي» چلند رامنځته کوي۔

children {
    office-lan {
        local_ts = 192.168.50.0/24
        remote_ts = 192.168.70.0/24
        start_action = trap
    }
}

دوه ترافیکي انتخاب کوونکي تعریفوي چې څه په زړه پورې ګڼل کیږي, او د هغو مخکښو بهر مېزبان بسته trap نه خوځوي؛ هغه د معمول په څېر لارښود کیږي۔ د ټریګر د لا زیات لیوالتیا لپاره د انتخاب کوونکو پراخول هغه ساحه هم پراخوي چې تونل یې د ساتنې ادعا کوي، نو هغه د هغه ترافیک څخه ترلاسه کړئ چې واقعاً یې کوډ کول غواړئ۔

دلته swanctl.conf مرجع منل شوي ارزښتونه لیست کوي، د جلا close او DPD کړنو سره یوځای چې کنټرولوي چې SA له شتون وروسته څه پیښیږي۔

ومومئ چې ایا ټریګر په بشپړ ډول وخوځېد

له دې سره پیل کړئ: swanctl --list-conns او تایید کړئ چې child ستاسو د غوښتل شوي کړنې سره بار شوی۔ بیا local_ts دننه مېزبان څخه remote_ts دننه پتې ته یوه بسته ولېږئ او swanctl --list-sas وګورئ۔ که خروجي بدله نه شي، هېڅ acquisition ډیمون ته ونه رسېده۔

د غلي trap دوه عادي لاملونه: بسته د پالیسۍ له رسیدو مخکې source-NAT شوه او نوره local_ts سره سمه نه ده، یا اړیکه د نحو یا اعتبارنامې د تېروتنې له امله هېڅکله بار نه شوه۔ بیا چل کړئ swanctl --load-all او د انتخاب کوونکو له لمس کولو مخکې یې خروجي ولولئ۔ هغه اړیکه چې بار نه شوه هېڅ پالیسي نه نصبوي، نو ترافیک لپاره د خوځولو څه نشته۔

لوري هم مهم دی: د وتونکي ترافیک لپاره نصب شوی trap په راتلونکې بسته پیل نه کیږي۔ که لرې اړخ باید تونل پورته کړي، خپل trap ته اړتیا لري، یا دا اړخ ته start.

لومړنۍ بستې ته انتظار همیشه سم بدل نه دی

تعاملي ناستې د تنظیم لګښت احساسوي۔ لومړنۍ غوښتنه د IKE تبادلې او CHILD خبرو اترو بیه ورکوي، او لنډ مهال لرونکی پیرودونکی کولای شي SA له جوړیدو مخکې تسلیم شي۔ فعال start هغه لومړنۍ-بسته ځنډ لرې کوي۔ خو تونل د هغه ترافیک لپاره پرانیستی ساتي چې کېدای شي هېڅکله رانشي۔

درې حقایق انتخاب حل کوي: لاره څو ځله کارول کیږي، لومړنۍ غوښتنه تنګه موده لري که نه، او د بوټ پر مهال همتا ته رسیدل کیدای شي که نه۔ کله ناکله بستیز ترافیک او د بوټ پر مهال آفلاین کیدونکی همتا دواړه د trap ملاتړ کوي۔ د ځنډ په وړاندې حساس پیرودونکی او همیشه رسیدونکی همتا د start ملاتړ کوي۔ که دواړه اړخونه پیل کولای شي، موافقه وکړئ چې ټریګر د چا دی تر څو دوه ځله خبرې اترې ونه شي۔

نصب شوې پالیسي هم د تېښتې ضد تضمین نه دی۔ که اړتیا fail-closed وي، اور وژونکی باید پرته له SA ترافیک وغورځوي، او هغه قاعده د child له تعریف بهر ژوند کوي۔

هغه درې کرښې ولیکئ چې بله بحث پای ته رسوي

انتخاب کوونکي، د پیل کړنه او هغه کمانډ خروجي ولیکئ چې پالیسي پرته له SA موجوده ښیي۔ هغه درې کرښې بله ځل چې څوک تونل بند راپور کړي، «on-demand او غیر فعال» له «بار نه کیږي» څخه بېلوي۔ د هغو ثبتول یوه دقیقه نیسي۔ پرته له هغو هماغه پلټنه له صفر پیل کیږي۔

له هغه مېزبان څخه ازموینه وکړئ چې واقعاً د انتخاب کوونکي دننه دی۔ د روټر له خپله ping اکثراً بله لار نیسي او د هغه شاته سبنیټ ساتونکې پالیسي په اړه هېڅ نه ثابتوي۔