Një profil strongSwan i ngarkuar nuk është tunel aktiv

Renditja e një lidhjeje në konfigurimin e strongSwan provon vetëm se një përkufizim u ngarkua. Nuk do të thotë se pala tjetër u kontaktua, se ekziston një SA IKE ose se ndonjë trafik është i mbrojtur. Demon e trajton përkufizimet dhe asociacionet aktive si objekte të veçanta, dhe distanca mes tyre është një zgjedhje e qëllimshme projektimi. Të dish cilin objekt po ekzaminon e kthen një dështim të paqartë në një komandë të saktë për më pas.

Ngarkimi nuk është lidhje

Një lidhje e ngarkuar është një deklaratë për atë që mund të negociohet më vonë: adresat e palës, kredencialet, propozimet dhe përzgjedhësit e trafikut. Asgjë në atë deklaratë nuk kërkon që demon të ketë telefonuar dikë. Një portë mund të presë palën tjetër, të nisë në fillim ose të presë që një trafik përputhës ta zgjojë. Të treja janë të vlefshme, dhe të treja duken njësoj në skedarin e konfigurimit derisa të lexosh politikën e nisjes.

Operatorët ngecin duke lexuar listën e përkufizimeve si listë statusi. Profili është aty, kështu që supozohet se tuneli është ngritur, dhe ora tjetër shkon në korrigjimin e rrugëve për një asociacion që nuk u ndërtua kurrë.

Gabimi i kundërt është po aq i zakonshëm. Një profil që mungon i dërgon njerëzit të kërkojnë një defekt rrjeti kur konfigurimi nuk u ngarkua kurrë. Emërto objektin dhe pastaj ekzekuto komandën që e vëzhgon.

Tre objekte, tre vëzhgime

strongSwan mban një përkufizim të ngarkuar, një SA IKE dhe një SA CHILD. I pari është konfigurim, i dyti është një marrëdhënie kontrolli e vërtetuar, dhe i treti është mbrojtje e negociuar për trafikun e zgjedhur. Kanë edhe emra të veçantë, kështu që një profil i quajtur hq mund të zotërojë një child të quajtur hq-lan.

Tabela lidh çdo shtresë me komandën që e shfaq. Lexo rreshtin përpara se të lexosh regjistrin.

Kërkimi i child ndërton fillimisht SA IKE prind kur nuk ekziston asnjë. Kërkimi vetëm i SA IKE është një thirrje tjetër. Një kanal kontrolli që vërtetohet mirë nuk garanton child që kërkove.

Ky ndryshim ka rëndësi gjatë një dështimi të pjesshëm. Një SA IKE mund të jetë i shëndetshëm ndërsa child dështon për një mospërputhje përzgjedhësi ose një propozim që pala nuk e pranon. Të dy objektet dështojnë për arsye të ndryshme, prandaj meritojnë vëzhgime të veçanta.

Zgjidh me qëllim veprimin e nisjes

Në swanctl.conf, start_action i një child vendos sjelljen pas ngarkimit. Vlera e paracaktuar none e lë përkufizimin për nisje manuale ose përdorim si responder. start e thërret, ndërsa trap lë një politikë që negocion sapo shfaqet trafik përputhës.

Pra, si «ngarkimi nuk nis kurrë një tunel» ashtu edhe «ngarkimi nis gjithmonë një» janë të gabuara. Veprimi është pjesë e profilit dhe duhet të përputhet me rolin e palës. Dy porta që të dyja presin palën tjetër prodhojnë heshtje, jo një tunel.

Me trap, trafiku duhet të përputhet me përzgjedhësit, kështu që një ping i palidhur nuk zgjon asgjë. Me start, adresa e palës duhet të jetë e përdorshme dhe të dyja anët duhet të bien dakord për vërtetimin dhe propozimet. Asnjë nga veprimet nuk zëvendëson kontrollin e këtyre kushteve.

Rikuperimi është politikë më vete

Nisja nuk është keepalive. Zbulimi i palës së vdekur, mbyllja e qartë nga pala, rinovimi i çelësave dhe rinisja e procesit janë ngjarje të ndryshme të ciklit të jetës me cilësime të vetat. Konfiguro secilën me qëllim, në vend që të presësh që një nisje fillestare t'i mbulojë të gjitha.

Një tunel që ngrihet në nisje dhe vdes një orë më vonë është çështje rikuperimi. Politika e nisjes bëri punën e saj dhe pastaj nuk kishte më rëndësi. Shiko cilësimet e DPD dhe të rinovimit të çelësave përpara se të fajësosh negociimin fillestar.

Zëvendësimi i përkufizimeve të ngarkuara është operacion më vete. Politikat e nisjes jo të paracaktuara kanë veprime të kundërta të dokumentuara, dhe një ringarkim është një ndryshim operativ, jo supozimi se çdo asociacion u përditësua në vend. Bëj ringarkimet në faza, aty ku një rilidhje është e pranueshme. Mbaj konfigurimin e vjetër derisa ai i ri të provohet.

Kontrollo çfarë ekziston përpara se të korrigjosh rrugëtimin

Ekzekuto tre vëzhgimet me radhë: përkufizime të ngarkuara, SA IKE aktive dhe zëra child. Çdo përgjigje ngushton pyetjen tjetër. Kapërce një hap dhe përfundon duke korrigjuar një shtresë që nuk u ndërtua kurrë.

Fillo me atë që është e ngarkuar dhe atë që është vërtet e vendosur:

swanctl --list-conns
swanctl --list-sas

Nëse child mungon ndërsa profili është i saktë, nise atë me emër dhe vëzhgo çfarë ndodh. Dalja zakonisht thotë nëse prindi u ngrit i pari.

swanctl --initiate --child hq-lan

Një SA CHILD aktiv nuk është vija e finishit. Rregullat e përcjelljes, rrugët dhe autorizimi i vetë aplikacionit duhet ende të përputhen. Cikli i jetës përgjigjet se çfarë u negociua; nuk mund të vendosë kush mund ta përdorë shërbimin.