strongSwan wuu hoos ahaanayaa kadib dib-u-bilaabka peer: soo celi hal tunnel

Gateway-ga fog dib ayuu u bilaabmaa, wuxuu ku soo noqdaa hal daqiiqo gudahood, daemon-ka strongSwan ee maxalliga ahina wuu sii socdaa isagoo tunnel-ku weli hoos yahay. Shaqo cron oo ESTABLISHED baadha oo daemon-ka dib u bilaabta ayaa ugu dambayn dabooli doonta taas, waxayna sidoo kale goyn doontaa tunnel kasta oo aan xiriir la lahayn oo mishiinka ku yaal, iyadoo laga yaabo inay seegto tan fashilantay. Soo celinta waxaa iska leh xiriirka waa inuu soo noqdo, oo lagu muujiyay goobo ka badbaada reload. Runbook-kan waxa uu taas u diyaariyaa hal xiriir oo caddeeya natiijada magaca.

Ka tag dib-u-bilaabka guud, hayso caddayntiisa

Dib-u-bilaabka daemon-ku waxa uu leeyahay laba cilladood oo gaar ah: wuxuu baabbi'iyaa xaaladda xiriir kasta, mana kuu sheego dhacdada dhab ahaan fashilantay. Qoraalka xaaladda aad baadhay waxa laga yaabaa inuu ka yimid xiriir kale, halka child-ka loo baahan yahay uu fadhiistay isagoo aan shaqayn maxaa yeelay waxba ma bilaabin.

Akhri xiriirrada la rakibay iyo xiriirrada firfircoon ka hor intaadan wax beddelin, si aad u hesho sawir hore oo aad la barbardhigto marka peer-ku soo noqdo.

swanctl --list-conns
swanctl --list-sas

Dhig bilowga iyo isku-dayga xiriirka soo noqonaya

Isticmaalka swanctl.conf goobahani waxay ku nool yihiin heerka xiriirka iyo child-ka halkii ay ka ahaan lahaayeen siyaasad guud. Qaybta hoose waa tusaale dhinaca bilaabaha ah oo u malaynaya in soo-jeedinta, aqoonsiga iyo doorashada ay hore u saxnaayeen.

connections {
    branch {
        keyingtries = 0
        dpd_delay = 30s
        children {
            private-lan {
                start_action = trap|start
                dpd_action = restart
            }
        }
    }
}

start_action waxa uu go'aamiyaa waxa dhaca marka child-ka la rakibo: start isla markiiba bilaabmaa, halka trap uu rakibo siyaasad kicisa bilowga marka taraafik ku habboon soo baxo. Qorista trap|start waxay u baahan tahay strongSwan 5.9.6 ama ka cusub, marka hubi nooca ka hor intaadan xariiqda koobiyeen. dpd_action=restart waxa uu codsadaa gorgortan cusub marka peer-ka lagu dhawaaqo inuu dhintay, keyingtries=0 heerka xiriirkana waxa uu ogolaadaa isku-dayo dheeraad ah ilaa guul ama khalad joogto ah. IKEv2 hoostiisa dpd_timeout wax saameyn ah ma leh, maxaa yeelay dib-u-gudbinta caadiga ah ayaa go'aamisa marka peer-ku aanu jawaabin.

Dib-u-dhaca tusaalahaas waa bar-bilow ee ma aha waqti-guud. Dooro iyadoo ku saleysan inta ay qaadanayso dib-u-bilaabka peer-ka iyo intee dib-u-gudbin ah aad diyaar u tahay inaad u adkaysato.

Ogow dhacdada aad ka soo celinayso

Saddex fashil ayaa isku mid uga muuqda dashboard-ka waxayna u baahan yihiin goobo kala duwan. Xiriirka bilowga ah ee waligiis kordin khalad qaabayn ama gaadhitaan. Peer-ka jawaabta joojiyay waa kiiska DPD. Child-ka uu peer-ku si cad u xiray waa dhacdo siyaasadeed oo leh close_action u gaar ah, oo DPD waligiis aanu arkin. Akhrinta log-ga ku wareegsan xannibaadda ayaa kuu sheegta saddexdii midkaad haysato, jawaabtuna waxay beddeshaa hagaajinta.

Ha ku darin bilow-culus xiriir ay hawl-wadeennada si ula kac ah u xiraan dayactir, haddii kale tunnel-ku wuu dib u soo muuqan doonaa badhtamaha daaqadda. Naqshadaha dalabka ku saleysan trap la hayo waa ku filan yahay, maxaa yeelay taraafik ku habboon ayaa dib u dhigaa child-ka iyada oo aan timer lahayn.

Ku hubi magaca, ma aha xaaladda daemon

Akhri xiriirka iyo child-kiisa magaca inta peer-ku weli hoos yahay, kadibna mar kale marka uu soo noqdo; farqiga u dhexeeya labadaas soo-saar waa caddaynta.

swanctl --initiate --child private-lan
swanctl --terminate --ike branch

Kadib xaqiiji adeegga ma aha xiriirka. Xiriir amni oo child cusub iyo codsi guul leh oo loo dirayo meesha gaarka ah ee ka dambeysa ayaa ah labada xaqiiqo ee muhiimka ah, daemon shaqaynaya oo leh tunnel caafimaad qaba oo aan xiriir la lahayn midkoodna ma caddeeyo.

Haddii child-ku waligiis bilaaban, hubi in taraafikga tijaabada uu si sax ah u dhigmaan doorashooyinka la habaysay, oo ay ku jiraan borotokoolka iyo dekedda. Haddii uu bilaabo oo fashilmo, akhri khaladka aqoonsiga ama soo-jeedinta halkii aad ku qarin lahayd wareeg aan dhammaad lahayn, maxaa yeelay keyingtries=0 waxa uu si farxad leh u celcelin doonaa diidmo joogto ah weligeed.

Ku rakib isbeddelka daaqad oo dib u tijaabi

Reload wuu ka badbaadsan yahay dib-u-bilaabka daemon-ka, walina ma aha bilaash: beddelka ama ka-saarista child waxay xiri karaan xiriir la bilaabay ama tuuri karaan trap-kiisa.

Ku rakib inta lagu jiro daaqadda dayactirka, hayso faylka hore, oo xaqiiji in xiriirku uu u muuqdo goobaha aad ula jeeday ee ma aha kuwa caadiga ah.

swanctl --load-conns
swanctl --list-conns

Dib u noqo adigoo soo celinaya faylka hore oo dib u rakibaya, kadibna ku celi labada amar. Tunnel-ka kaliya dib-u-bilaabka daemon-ka kadib soo noqda lama hagaajin, waa la dib-u-dejiyay.