Një lart, zero duke u lidhur: çfarë numëron ai rreshti strongSwan

Lexoni një rresht statusi që thotë Security Associations (1 up, 0 connecting) dhe duket si një raport për një tunel që punon. Dy nënrrjeta po kalojnë trafik përmes tij në të njëjtën kohë, prandaj numri duket se gënjen. Nuk gënjen; numëron shoqatat IKE, dhe njëra prej tyre mund të strehojë disa fëmijë. Lexoni inventarët përpara se të prekni një propozim ose një rrugë.

Pse titulli dhe trafiku nuk përputhen

Dalja e vjetër e stroke e quan totalin e saj shoqata sigurie dhe e nxjerr nga menaxheri i shoqatave IKE. Çdo shoqatë IKE e vendosur kontribuon me një, pavarësisht sa CHILD SA ndodhen nën të. Një prind i vetëm IKEv2 zakonisht mban disa fëmijë, një për çdo palë përzgjedhësish trafiku, dhe përzgjedhësit e negociuar të një fëmije mund të mbulojnë më shumë se një adresë ose prefiks. Prandaj numri i adresave në konfigurimin tuaj nuk ka lidhje të fiksuar me numrin në titull.

Dalja moderne ndonjëherë tregon një total në vend të formulimit të vjetër “up”, dhe një daemon i menaxhuar nga swanctl nuk drejtohet fare nga cilësimet e vjetra stroke. Mos merrni si të mirëqenë as formulimin as rregullin e numërimit mes versioneve.

Krahasoni tre inventarë përpara se të ndryshoni gjë

Filloni me atë që është ngarkuar, pastaj me atë që është negociuar, pastaj me atë që me të vërtetë lëviz paketat. Këto janë tre pyetje të ndryshme dhe secila ka komandën e vet.

swanctl --list-conns
swanctl --list-sas

E para liston përkufizimet e lidhjes që daemoni pranoi. E dyta liston shoqatat IKE të vendosura me fëmijët e tyre, dhe pikërisht aty shfaqet hierarkia e vërtetë. Një përkufizim që ndodhet në një skedar por mungon në listën e parë nuk u ngarkua kurrë, dhe asnjë numër përpjekjesh të përsëritura të iniciatorit nuk e rregullon atë. Nëse në vend të kësaj ekzekutoni ndërfaqen e vjetër, çifti ekuivalent është ipsec statusall dhe e njëjta listë swanctl, në varësi të asaj se cili shtojcë zotëron konfigurimin. Mos përzieni mjete mes dy daemonëve në një host të vetëm dhe mos prisni një përgjigje të vetme koherente.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Forma e papërpunuar i mban identifikuesit dhe përzgjedhësit të dukshëm për krahasim, dhe lista e statusit të kernelit tregon çfarë mendon stiva se ka instaluar. Kur daemoni dhe kernelit nuk bien dakord, ose daemoni është rinisur rreth një fëmije ekzistues, ose objekti i kernelit është hequr nën të.

Lexoni hierarkinë, jo totalin

Një prind i vendosur ilustrues me dy fëmijë duket si një nyje me dy fëmijë nën të, secili i etiketuar me gjendjen dhe mënyrën e vet. Shkarkoni daljen reale dhe numëroni fëmijët vetë në vend që të lexoni një përmbledhje që dikush e ka ngjitur nga një panel.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Një prind me dy fëmijë të instaluar është një tunel i shëndetshëm me dy nënrrjeta. Një prind me një fëmijë të instaluar dhe një fëmijë që mungon është një situatë tjetër, dhe përzgjedhësit e fëmijës që mungon janë ajo që duhet krahasuar me propozimin e anës së largët. Gjatë rinovimit të çelësave, një fëmijë i vjetër dhe zëvendësuesi i tij mund të shfaqen bashkë për një dritare të shkurtër. Mbajeni vulën kohore me pamjen, sepse një numërim i marrë në mes të rinovimit duket si dublim dhe një i marrë pas tij duket si humbje.

I ngarkuar, i instaluar dhe trafik që kalon

Një fëmijë në gjendjen e instaluar ka parametra të negociuar dhe një hyrje në kernel. Por nuk ka transportuar domosdoshmërisht një paketë: përzgjedhësit mund të jenë më të ngushtë se trafiku që prisni, dhe një rrugë mund ta dërgojë atë trafik diku tjetër përpara se tuneli ta shohë fare. Dërgoni një rrjedhë që përputhet me përzgjedhësit e negociuar nga një host i autorizuar, dhe pastaj lexoni numëruesit e fëmijës në vend të titullit. Një numërues që mbetet në zero ndërsa gjeneroni trafik përputhës tregon drejtimin ose politikën, jo IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Nisja e një fëmije të emërtuar është një veprim i qëllimshëm me një rezultat të dukshëm, dhe ai ndan “lidhja është e papunë sepse askush nuk e kërkoi” nga “lidhja nuk mund të ngrihet”. Një politikë kurthi sipas kërkesës sillet saktësisht si rasti i parë, prandaj lexoni cilësimin e nisjes së lidhjes përpara se ta quani defekt.

Kur numërimi është vërtet i gabuar

Nëse një përkufizim mungon në inventarin e ngarkuar, shikoni ngarkimin e konfigurimit dhe cila instancë e daemonit po ekzekutohet. Nëse është ngarkuar por nuk negocion kurrë, krahasoni propozimet, kontekstin e vërtetimit dhe përzgjedhësit me palën tjetër, një fëmijë në një herë. Ndryshoni një element për provë dhe shënoni identifikuesin që ndryshuat. Kthimi i një propozimi është i parëndësishëm kur e dini se cili është; është hamendje pas tre ndryshimeve që nuk u ndanë kurrë.

Rregulloni së pari leximin e gabuar. Shumica e raporteve për një tunel të dytë “që mungon” përfundojnë me dy fëmijë të instaluar nën një prind të vetëm, dhe e vetmja gjë që ishte thyer ndonjëherë ishte rreshti i përmbledhjes të cilit njerëzit i besonin në vend të hierarkisë.