ipsec.conf ili swanctl.conf? Odaberite jedan strongSwan frontend

Radni IKEv1 profil iz starijeg vodiča stiže na Ubuntu 24.04, a prvi pokušaj ne uspijeva jer daemon nikada nije pročitao datoteku. Uobičajena reakcija je ponovno uređivanje profila. Pravo pitanje je koji je strongSwan frontend instaliran i koji koristi pokrenuta usluga. Dok se to ne odgovori, svako uređivanje cilja na loader koji možda ne postoji.

Dvije datoteke, dva loadera, jedan daemon

Stari starter raspored čita ipsec.conf i predaje veze charonu kroz svoju staru integraciju upravljanja. Njegova operativna ulazna točka je naredba ipsec.

swanctl raspored učitava definicije kroz VICI, čita swanctl.conf i pokreće se naredbom swanctl. charon daemon nativan za systemd integrira se s tim pristupom.

Oba mogu biti instalirana na istom stroju i tu počinje zbrka. Datoteka pod /etc dokazuje samo da ju je netko napisao, ne da ju je pokrenuti proces učitao. Instaliranje svake alternative da bi se vidjelo koja radi stvara host s dva puta upravljanja i bez jasnog vlasnika. Odaberite jedan raspored i uklonite ili onemogućite drugi.

Pročitajte instalirane pakete i unit-e

Počnite samo za čitanje. Nazivi paketa na Ubuntu 24.04 su odvojeni: strongswan-starter, strongswan-swanctl i charon-systemd. Paket koji nedostaje korisna je informacija, a ne uputa da ga instalirate.

Popišite pakete i unit-e u jednom prolazu:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Zatim pregledajte aktivni unit i njegovu naredbu za pokretanje. Naziv unita govori koji daemon posjeduje konfiguraciju, a naredbeni redak potvrđuje koje je datoteke trebao čitati. Unit koji je omogućen ali nije aktivan priča drugu priču od onoga koji sada radi.

Ako je aktivni unit strongswan-starter, datoteka koja je važna je ipsec.conf. Ako je to charon-systemd sa swanctl, ipsec.conf je samo ukras.

Koristite odgovarajući put upravljanja

Svaki frontend ima vlastiti pogled na veze i asocijacije. swanctl --list-conns prikazuje učitane definicije, a swanctl --list-sas aktivne asocijacije. Stari put koristi ipsec statusall.

Njihovo miješanje proizvodi zavaravajuće greške. Nedostajući VICI socket ili odbijen zahtjev upravljanja problem je puta upravljanja, a ne dokaz da je partner odbio autentifikaciju.

Pročitajte pogled koji pripada pokrenutom daemonu, a zatim protumačite rezultat. Ako veza nije prisutna u tom pogledu, problem je u učitavanju, ne u pregovaranju.

Format nije verzija IKE

Stari profil bira IKEv1 pomoću keyexchange=ikev1. swanctl veza koristi postavku verzije, gdje 1 bira IKEv1. To su dva rječnika za istu ideju, a ne pretvorba.

Adrese partnera, lokalni i udaljeni identiteti, izvori vjerodajnica, prijedlozi i child selektori moraju se namjerno mapirati. Lijepljenje left/right bloka u swanctl sintaksu ne čini ništa od toga.

Promjena samo verzije protokola najčešća je polovična migracija. Ona stvara datoteku koja se učita i zatim ne prođe autentifikaciju iz razloga nepovezanih s verzijom. Sam IKEv1 zastario je prema RFC 9395, pa postojeći partner koji ga još traži zaslužuje dokumentirano ograničenje kompatibilnosti i put migracije, a ne novu zadanu vrijednost.

Provjerite loader prije nego dirate profil

Prvo pokrenite provjeru loadera, zatim učitate namjeravanu vezu, zatim procijenite pregovaranje, a zatim put zaštićenog prometa. Svaka faza ima drugačiji potpis kvara.

Dva puta upravljanja izravno odgovaraju na pitanje učitavanja:

swanctl --list-conns
ipsec statusall

Samo jedna od tih naredbi pripada vašem hostu. Pokretanje obiju i usporedba izlaza način je da otkrijete koja vam laže, a ne dijagnostička metoda.

Tretirajte vlasništvo nad paketima, učitavanje konfiguracije i kompatibilnost protokola kao tri odvojena pitanja. Datoteka valjana za jedan frontend inače će se uređivati iznova i iznova dok drugi daemon radi.