Један подигнут, нула повезаних: шта броји та strongSwan линија

Прочитајте статусну линију која каже Security Associations (1 up, 0 connecting) и изгледа као извештај о једном тунелу који ради. Две подмреже истовремено пропуштају саобраћај кроз њега, па број изгледа као да лаже. Не лаже; броји IKE асоцијације, а једна од њих може да угоссти неколико подређених. Прочитајте инвентаре пре него што додирнете предлог или руту.

Зашто се наслов и саобраћај не слажу

Стари stroke излаз назива свој збир безбедносним асоцијацијама и изводи га из менаџера IKE асоцијација. Свака успостављена IKE асоцијација доприноси једну, без обзира на то колико CHILD SA стоји испод ње. Један IKEv2 родитељ обично носи неколико подређених, по један за сваки пар селектора саобраћаја, а договорени селектори подређеног могу да покрију више од једне адресе или префикса. Зато број адреса у вашој конфигурацији нема фиксан однос према броју у наслову.

Савремени излаз понекад приказује збир уместо старог израза “up”, а демон којим управља swanctl уопште се не води старим stroke поставкама. Не претпостављајте ни израз ни правило бројања између верзија.

Упоредите три инвентара пре него што било шта промените

Почните са оним што је учитано, затим са оним што је договорено, затим са оним што заиста премешта пакете. То су три различита питања и свако има своју команду.

swanctl --list-conns
swanctl --list-sas

Прва наводи дефиниције везе које је демон прихватио. Друга наводи успостављене IKE асоцијације са њиховом децом, и ту се појављује права хијерархија. Дефиниција која постоји у датотеци али је нема на првом списку никада није учитана, и ниједан број поновних покушаја иницијатора то не исправља. Ако уместо тога покрећете стари интерфејс, еквивалентан пар је ipsec statusall и исти swanctl списак, зависно од тога који прикључак поседује конфигурацију. Не мешајте алате између два демона на истом домаћину и не очекујте један усаглашен одговор.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Сирови облик држи идентификаторе и селекторе видљивим за поређење, а списак стања језгра показује шта стек мисли да је инсталирао. Када се демон и језгро не слажу, или је демон рестартован око постојећег подређеног, или је објекат језгра уклоњен испод њега.

Читајте хијерархију, а не збир

Илустративни успостављени родитељ са двоје деце изгледа као један чвор са двоје деце испод себе, свако означено својим стањем и режимом. Испечатите стварни излаз и сами пребројте децу уместо да читате резиме који је неко залепио са контролне табле.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Један родитељ са двоје инсталиране деце је здрав тунел за две подмреже. Један родитељ са једним инсталираним и једним одсутним дететом је друга ситуација, а селектори детета које недостаје су оно што треба упоредити са предлогом далеке стране. Током обнове кључева, старо дете и његова замена могу накратко да се појаве заједно. Чувајте временску ознаку уз снимак, јер бројање узето насред обнове изгледа као дуплирање, а оно после ње као губитак.

Учитано, инсталирано и саобраћај који пролази

Дете у инсталираном стању има договорене параметре и унос у језгру. Али оно није нужно пренело пакет: селектори могу бити ужи од саобраћаја који очекујете, а рута може да пошаље тај саобраћај негде другде пре него што га тунел уопште види. Пошаљите ток који одговара договореним селекторима са овлашћеног домаћина, па читајте бројаче детета уместо наслова. Бројач који остане на нули док стварате одговарајући саобраћај указује на рутирање или политику, не на IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Покретање именованог детета је намерна радња са видљивим резултатом, и она раздваја “веза мирује јер нико није тражио” од “веза не може да се подигне”. Политика замке на захтев понаша се тачно као први случај, зато прочитајте поставку покретања везе пре него што то назовете кваром.

Када је број заиста погрешан

Ако дефиниција недостаје у учитаном инвентару, погледајте учитавање конфигурације и која инстанца демона ради. Ако је учитана али никада не преговара, упоредите предлоге, контекст провере идентитета и селекторе са партнером, једно дете по једно. Мењајте један елемент по покушају и запишите идентификатор који сте променили. Враћање предлога је тривијално када знате који је; то је нагађање после три измене које никада нису биле раздвојене.

Прво исправите погрешно читање. Већина извештаја о “недостајућем” другом тунелу заврши са двоје инсталиране деце под једним родитељем, а једино што је икада било покварено била је линија са резимеом којој су људи веровали уместо хијерархије.