ipsec.conf apo swanctl.conf? Zgjidhni një frontend strongSwan

Një profil IKEv1 që punon, marrë nga një udhëzues më i vjetër, arrin në Ubuntu 24.04, dhe përpjekja e parë dështon sepse demoni nuk e lexoi kurrë skedarin. Reagimi i zakonshëm është të redaktohet profili përsëri. Pyetja e vërtetë është cili frontend i strongSwan është instaluar dhe cilin përdor shërbimi që punon. Derisa kjo të përgjigjet, çdo redaktim synon një ngarkues që mund të mos ekzistojë.

Dy skedarë, dy ngarkues, një demon

Rregullimi i vjetër starter lexon ipsec.conf dhe i kalon lidhjet charon-it përmes integrimit të tij të vjetër të menaxhimit. Pika e tij operative e hyrjes është komanda ipsec.

Rregullimi swanctl ngarkon përkufizime përmes VICI, lexon swanctl.conf dhe drejtohet nga komanda swanctl. Demoni charon, vendas në systemd, integrohet me këtë qasje.

Të dy mund të instalohen në të njëjtën makinë, dhe pikërisht aty fillon konfuzioni. Një skedar nën /etc provon vetëm se dikush e shkroi, jo se procesi që punon e ngarkoi. Instalimi i çdo alternative për të parë cila funksionon krijon një host me dy rrugë menaxhimi dhe pa pronar të qartë. Zgjidhni një rregullim dhe hiqni ose çaktivizoni tjetrin.

Lexoni paketat dhe njësitë e instaluara

Filloni vetëm për lexim. Emrat e paketave në Ubuntu 24.04 janë të ndarë: strongswan-starter, strongswan-swanctl dhe charon-systemd. Një paketë që mungon është informacion i dobishëm, jo udhëzim për ta instaluar.

Inventarizoni paketat dhe njësitë në një kalim:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Më pas inspektoni njësinë aktive dhe komandën e saj të nisjes. Emri i njësisë tregon cili demon zotëron konfigurimin, dhe rreshti i komandës konfirmon cilat skedarë iu kërkua të lexonte. Një njësi e aktivizuar por jo aktive tregon një histori tjetër nga ajo që punon tani.

Nëse njësia aktive është strongswan-starter, skedari që ka rëndësi është ipsec.conf. Nëse është charon-systemd me swanctl, ipsec.conf është thjesht dekor.

Përdorni rrugën e kontrollit që përputhet

Çdo frontend ka pamjen e vet të lidhjeve dhe shoqërimeve. swanctl --list-conns shfaq përkufizimet e ngarkuara dhe swanctl --list-sas shoqërimet aktive. Rruga e vjetër përdor ipsec statusall.

Përzierja e tyre prodhon gabime mashtruese. Një socket VICI që mungon ose një kërkesë kontrolli e refuzuar është problem i rrugës së menaxhimit, jo provë se pala tjetër refuzoi vërtetimin.

Lexoni pamjen që i përket demonit që punon, dhe më pas interpretoni rezultatin. Nëse lidhja mungon në atë pamje, problemi është ngarkimi, jo negociimi.

Formati nuk është versioni IKE

Një profil i vjetër zgjedh IKEv1 me keyexchange=ikev1. Një lidhje swanctl përdor një cilësim versioni, ku 1 zgjedh IKEv1. Këto janë dy fjalorë për të njëjtën ide, jo një konvertim.

Adresat e palës tjetër, identitetet lokale dhe të largëta, burimet e kredencialeve, propozimet dhe përzgjedhësit child duhet të hartëzohen me qëllim. Ngjitja e një blloku left/right në sintaksën swanctl nuk bën asgjë nga këto.

Ndryshimi vetëm i versionit të protokollit është gjysmë-migrimi më i zakonshëm. Ai prodhon një skedar që ngarkohet dhe më pas dështon në vërtetim për arsye që nuk lidhen me versionin. Vetë IKEv1 është vjetëruar nga RFC 9395, prandaj një palë ekzistuese që ende e kërkon meriton një kufizim të dokumentuar përputhshmërie dhe një rrugë migrimi, jo një vlerë të parazgjedhur të re.

Kontrolloni ngarkuesin përpara se të prekni profilin

Ekzekutoni fillimisht kontrollin e ngarkuesit, më pas ngarkoni lidhjen e synuar, më pas vlerësoni negociimin dhe në fund rrugën e trafikut të mbrojtur. Çdo fazë ka një nënshkrim tjetër dështimi.

Të dyja rrugët e kontrollit i përgjigjen drejtpërdrejt pyetjes së ngarkimit:

swanctl --list-conns
ipsec statusall

Vetëm njëra nga këto komanda i përket hostit tuaj. Ekzekutimi i të dyjave dhe krahasimi i daljes është një mënyrë për të zbuluar cila po ju gënjen, jo një metodë diagnostikuese.

Trajtoni pronësinë e paketave, ngarkimin e konfigurimit dhe përputhshmërinë e protokollit si tre pyetje të ndara. Një skedar i vlefshëm për një frontend do të redaktohet vazhdimisht ndërsa një demon tjetër është ai që punon.