ipsec.conf или swanctl.conf? Изаберите један strongSwan интерфејс

Радни IKEv1 профил из старијег упутства стиже на Ubuntu 24.04, а први покушај не успева јер демон никад није прочитао датотеку. Уобичајена реакција је да се профил поново уреди. Право питање је који је strongSwan интерфејс инсталиран и који користи услуга која ради. Док се то не одговори, свака измена циља учитавач који можда не постоји.

Две датотеке, два учитавача, један демон

Стари starter распоред чита ipsec.conf и предаје везе charon-у кроз своју стару интеграцију управљања. Његова оперативна улазна тачка је команда ipsec.

swanctl распоред учитава дефиниције кроз VICI, чита swanctl.conf и њиме управља команда swanctl. Демон charon, уграђен у systemd, интегрише се с тим приступом.

Оба могу бити инсталирана на истом рачунару и ту почиње забуна. Датотека под /etc доказује само да ју је неко написао, а не да ју је процес који ради учитао. Инсталирање сваке алтернативе да би се видело која ради ствара домаћина са два пута управљања и без јасног власника. Изаберите један распоред и уклоните или онемогућите други.

Прочитајте инсталиране пакете и unit-е

Почните само за читање. Имена пакета на Ubuntu 24.04 су одвојена: strongswan-starter, strongswan-swanctl и charon-systemd. Пакет који недостаје је корисна информација, а не упутство да се инсталира.

Попишите пакете и unit-е у једном пролазу:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Затим прегледајте активни unit и његову команду покретања. Име unit-а говори који демон поседује конфигурацију, а командна линија потврђује које је датотеке требало да чита. Unit који је омогућен али није активан прича другу причу од оног који сада ради.

Ако је активни unit strongswan-starter, важна је датотека ipsec.conf. Ако је то charon-systemd са swanctl, ipsec.conf је само украс.

Користите одговарајући пут управљања

Сваки интерфејс има свој поглед на везе и асоцијације. swanctl --list-conns приказује учитане дефиниције, а swanctl --list-sas активне асоцијације. Стари пут користи ipsec statusall.

Њихово мешање даје обмањујуће грешке. Недостајући VICI сокет или одбијен захтев управљања је проблем пута управљања, а не доказ да је партнер одбио аутентификацију.

Прочитајте поглед који припада демону који ради, а затим протумачите резултат. Ако везе нема у том погледу, проблем је у учитавању, а не у преговорима.

Формат није верзија IKE

Стари профил бира IKEv1 помоћу keyexchange=ikev1. swanctl веза користи подешавање верзије, где 1 бира IKEv1. То су два речника за исту идеју, а не претварање.

Адресе партнера, локални и удаљени идентитети, извори акредитива, предлози и child селектори морају намерно да се мапирају. Убацивање left/right блока у swanctl синтаксу не чини ништа од тога.

Мењање само верзије протокола је најчешћа полумиграција. Она ствара датотеку која се учита и затим не прође аутентификацију из разлога неповезаних с верзијом. Сам IKEv1 је застарео према RFC 9395, па постојећи партнер који га још захтева заслужује документовано ограничење компатибилности и пут миграције, а не нову подразумевану вредност.

Проверите учитавач пре него што дотакнете профил

Прво извршите проверу учитавача, затим учитајте жељену везу, затим процените преговоре и на крају пут заштићеног саобраћаја. Свака фаза има другачији потпис отказа.

Два пута управљања директно одговарају на питање учитавања:

swanctl --list-conns
ipsec statusall

Само једна од тих команди припада вашем домаћину. Покретање обе и поређење излаза начин је да откријете која вам лаже, а не дијагностичка метода.

Третирајте власништво над пакетима, учитавање конфигурације и компатибилност протокола као три одвојена питања. Датотека важећа за један интерфејс иначе ће се уређивати изнова и изнова док други демон ради.