ipsec.conf ali swanctl.conf? Izberite en frontend strongSwan

Delujoč profil IKEv1 iz starejšega vodnika pristane na Ubuntu 24.04, prvi poskus pa spodleti, ker demon datoteke nikoli ni prebral. Običajen odziv je, da profil znova uredite. Pravo vprašanje je, kateri frontend strongSwan je nameščen in katerega uporablja tekoča storitev. Dokler na to ni odgovora, vsaka sprememba meri na nalagalnik, ki morda ne obstaja.

Dve datoteki, dva nalagalnika, en demon

Stara postavitev starter bere ipsec.conf in povezave preda charonu prek svoje stare upravljalne integracije. Njena operativna vstopna točka je ukaz ipsec.

Postavitev swanctl nalaga definicije prek VICI, bere swanctl.conf in jo vodi ukaz swanctl. Demon charon, vgrajen v systemd, se povezuje s tem pristopom.

Oba sta lahko nameščena na istem stroju, in prav tam se začne zmeda. Datoteka pod /etc dokazuje le, da jo je nekdo napisal, ne pa, da jo je tekoči proces naložil. Namestitev vseh alternativ, da bi videli, katera deluje, ustvari gostitelja z dvema upravljalnima potema in brez jasnega lastnika. Izberite eno postavitev in drugo odstranite ali onemogočite.

Preberite nameščene pakete in enote

Začnite samo za branje. Imena paketov v Ubuntu 24.04 so ločena: strongswan-starter, strongswan-swanctl in charon-systemd. Manjkajoč paket je koristna informacija, ne navodilo, da ga namestite.

Popišite pakete in enote v enem prehodu:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Nato preglejte aktivno enoto in njen zagonski ukaz. Ime enote pove, kateri demon ima konfiguracijo, ukazna vrstica pa potrdi, katere datoteke naj bi bral. Enota, ki je omogočena, a ni aktivna, pripoveduje drugačno zgodbo kot tista, ki zdaj teče.

Če je aktivna enota strongswan-starter, je pomembna datoteka ipsec.conf. Če je to charon-systemd s swanctl, je ipsec.conf le okras.

Uporabite ustrezno upravljalno pot

Vsak frontend ima svoj pogled na povezave in asociacije. swanctl --list-conns prikazuje naložene definicije, swanctl --list-sas pa aktivne asociacije. Stara pot uporablja ipsec statusall.

Njihovo mešanje ustvarja zavajajoče napake. Manjkajoča vtičnica VICI ali zavrnjena upravljalna zahteva je težava upravljalne poti, ne dokaz, da je druga stran zavrnila overjanje.

Preberite pogled, ki pripada tekočemu demonu, nato razložite rezultat. Če povezave v tem pogledu ni, je težava v nalaganju, ne v pogajanjih.

Oblika ni različica IKE

Stari profil izbere IKEv1 s keyexchange=ikev1. Povezava swanctl uporablja nastavitev različice, kjer 1 izbere IKEv1. To sta dva slovarja za isto idejo, ne pretvorba.

Naslove nasprotne strani, lokalne in oddaljene identitete, vire poverilnic, predloge in izbirnike child je treba namerno preslikati. Prilepitev bloka left/right v skladnjo swanctl ne naredi nič od tega.

Sprememba samo različice protokola je najpogostejša polovična selitev. Ustvari datoteko, ki se naloži in nato ne prestane overjanja iz razlogov, ki niso povezani z različico. IKEv1 sam je po RFC 9395 zastarel, zato si obstoječa nasprotna stran, ki ga še vedno zahteva, zasluži dokumentirano omejitev združljivosti in pot selitve, ne nove privzete vrednosti.

Preverite nalagalnik, preden se dotaknete profila

Najprej izvedite preverjanje nalagalnika, nato naložite predvideno povezavo, nato ocenite pogajanja in nazadnje pot zaščitenega prometa. Vsaka stopnja ima drugačen podpis okvare.

Obe upravljalni poti neposredno odgovorita na vprašanje nalaganja:

swanctl --list-conns
ipsec statusall

Le eden od teh ukazov pripada vašemu gostitelju. Izvajanje obeh in primerjava izhoda je način, da ugotovite, katera vam laže, ne diagnostična metoda.

Lastništvo paketov, nalaganje konfiguracije in združljivost protokola obravnavajte kot tri ločena vprašanja. Datoteka, veljavna za en frontend, bo sicer urejana znova in znova, medtem ko teče drug demon.