Moja juu, sifuri inaunganisha: mstari huo wa strongSwan unahesabu nini

Soma mstari wa hali unaosema Security Associations (1 up, 0 connecting) na unaonekana kama ripoti ya handaki moja inayofanya kazi. Subneti mbili zinapitisha trafiki ndani yake kwa wakati mmoja, kwa hiyo nambari inaonekana kama inasema uongo. Haisemi uongo; inahesabu vyama vya IKE, na kimoja chao kinaweza kuwapa nafasi watoto kadhaa. Soma orodha za hesabu kabla ya kugusa pendekezo au njia.

Kwa nini kichwa na trafiki haziendani

Matokeo ya zamani ya stroke huita jumla yake vyama vya usalama na huipata kutoka kwa meneja wa vyama vya IKE. Kila chama cha IKE kilichowekwa kinachangia kimoja, bila kujali ni CHILD SA ngapi ziko chini yake. Mzazi mmoja wa IKEv2 kwa kawaida hubeba watoto kadhaa, mmoja kwa kila jozi ya vichagua trafiki, na vichagua vilivyokubaliwa vya mtoto vinaweza kufunika anwani au kiambishi zaidi ya kimoja. Kwa hiyo idadi ya anwani katika usanidi wako haina uhusiano maalum na nambari iliyo kwenye kichwa.

Matokeo ya kisasa wakati mwingine yanaonyesha jumla badala ya maneno ya zamani “up”, na daemon inayosimamiwa na swanctl haiongozwi kabisa na mipangilio ya zamani ya stroke. Usidhani maneno wala kanuni ya kuhesabu kati ya matoleo.

Linganisha orodha tatu kabla ya kubadilisha chochote

Anza na kile kilichopakiwa, kisha kile kilichokubaliwa, kisha kile kinachosogeza pakiti kwa kweli. Haya ni maswali matatu tofauti na kila moja lina amri yake.

swanctl --list-conns
swanctl --list-sas

Ya kwanza inaorodhesha fasili za muunganisho ambazo daemon ilikubali. Ya pili inaorodhesha vyama vya IKE vilivyowekwa pamoja na watoto wao, na hapo ndipo mfuatano halisi unaonekana. Fasili iliyo kwenye faili lakini haipo kwenye orodha ya kwanza haikupakiwa kamwe, na idadi yoyote ya majaribio upya ya mwanzilishi haitarekebisha hilo. Ikiwa badala yake unaendesha kiolesura cha zamani, jozi inayolingana ni ipsec statusall na orodha hiyo hiyo ya swanctl, kulingana na ni programu-jalizi ipi inayomiliki usanidi. Usichanganye zana kati ya daemon mbili kwenye mwenyeji mmoja na usitarajie jibu moja madhubuti.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Umbo ghafi huweka vitambulisho na vichagua vionekane kwa kulinganisha, na orodha ya hali ya kernel inaonyesha kile ambacho mkusanyiko unadhani umeweka. Wakati daemon na kernel hazikubaliani, ama daemon imeanzishwa upya kuzunguka mtoto aliyepo au kitu cha kernel kimeondolewa chini yake.

Soma mfuatano, sio jumla

Mzazi aliyewekwa wa mfano mwenye watoto wawili anaonekana kama nodi moja yenye watoto wawili chini yake, kila mmoja amewekwa alama ya hali na hali yake ya utendaji. Toa matokeo halisi na uhesabu watoto mwenyewe badala ya kusoma muhtasari ambao mtu amebandika kutoka dashibodi.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Mzazi mmoja mwenye watoto wawili waliowekwa ni handaki nzuri ya subneti mbili. Mzazi mmoja mwenye mtoto mmoja aliyewekwa na mmoja hayupo ni hali nyingine, na vichagua vya mtoto aliyekosekana ndivyo vinavyopaswa kulinganishwa na pendekezo la upande wa mbali. Wakati wa kufanya upya funguo, mtoto wa zamani na mbadala wake wanaweza kuonekana pamoja kwa muda mfupi. Hifadhi muhuri wa muda pamoja na picha, kwa sababu hesabu iliyochukuliwa katikati ya ufanyaji upya inaonekana kama urudufu na ile iliyochukuliwa baadaye inaonekana kama upotevu.

Imepakiwa, imewekwa na trafiki inayopita

Mtoto aliye katika hali iliyowekwa ana vigezo vilivyokubaliwa na ingizo la kernel. Lakini si lazima kuwa amebeba pakiti: vichagua vinaweza kuwa vyembamba kuliko trafiki unayotarajia, na njia inaweza kupeleka trafiki hiyo mahali pengine kabla handaki haijaiona. Tuma mtiririko unaolingana na vichagua vilivyokubaliwa kutoka kwa mwenyeji aliyeidhinishwa, kisha soma vihesabu vya mtoto badala ya kichwa. Kihesabu kinachobaki sifuri wakati unazalisha trafiki inayolingana kinaonyesha uelekezaji au sera, sio IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Kuanzisha mtoto aliyetajwa ni kitendo cha makusudi chenye matokeo yanayoonekana, na kinatenganisha “muunganisho haufanyi kazi kwa sababu hakuna aliyetaka” na “muunganisho hauwezi kupanda”. Sera ya mtego kwa ombi inafanya kama hali ya kwanza kabisa, kwa hiyo soma mpangilio wa kuanzisha muunganisho kabla ya kuiita hitilafu.

Wakati hesabu ni mbaya kweli

Ikiwa fasili haipo kwenye orodha iliyopakiwa, angalia upakiaji wa usanidi na ni nakala ipi ya daemon inaendesha. Ikiwa imepakiwa lakini haikubaliani kamwe, linganisha mapendekezo, muktadha wa uthibitishaji na vichagua na mwenzake, mtoto mmoja kwa wakati. Badilisha kipengele kimoja kwa kila jaribio na uandike kitambulisho ulichokibadilisha. Kurudisha pendekezo ni jambo dogo unapojua lipi; ni kukisia baada ya mabadiliko matatu ambayo hayakutenganishwa kamwe.

Kwanza rekebisha usomaji mbaya. Ripoti nyingi za handaki la pili “lililokosekana” huishia na watoto wawili waliowekwa chini ya mzazi mmoja, na kitu pekee kilichowahi kuvunjika kilikuwa mstari wa muhtasari ambao watu waliuamini badala ya mfuatano.