లోడ్ చేసిన strongSwan ప్రొఫైల్ యాక్టివ్ టన్నెల్ కాదు
strongSwan నిర్వచనాలను లోడ్ చేసి, తర్వాత IKE మరియు CHILD SAలపై చర్చించి నిర్ణయిస్తుంది. ప్రొఫైల్ లోడ్ అవడం టన్నెల్ ఉందా లేదా దాన్ని ఎవరు ప్రారంభిస్తారనే దానిపై ఏమీ చెప్పదు.
strongSwan కాన్ఫిగరేషన్లో కనెక్షన్ను జాబితా చేయడం ఒక నిర్వచనం లోడ్ అయిందని మాత్రమే నిరూపిస్తుంది. ఇది పీర్ను సంప్రదించారని, IKE SA ఉందని లేదా ఏదైనా ట్రాఫిక్ రక్షితంగా ఉందని అర్థం కాదు. డీమన్ నిర్వచనాలను మరియు సజీవ అసోసియేషన్లను వేర్వేరు వస్తువులుగా పరిగణిస్తుంది, మరియు వాటి మధ్య దూరం ఉద్దేశపూర్వక డిజైన్ నిర్ణయం. మీరు ఏ వస్తువును పరిశీలిస్తున్నారో తెలుసుకోవడం అస్పష్ట వైఫల్యాన్ని తదుపరి నిర్దిష్ట ఆదేశంగా మారుస్తుంది.
లోడ్ చేయడం కనెక్ట్ కావడం కాదు
లోడ్ చేసిన కనెక్షన్ తర్వాత ఏమి చర్చించవచ్చు అనే ప్రకటన: పీర్ చిరునామాలు, ఆధారాలు, ప్రతిపాదనలు మరియు ట్రాఫిక్ ఎంపికలు. ఆ ప్రకటనలో డీమన్ ఎవరికైనా కాల్ చేసి ఉండాలని ఏదీ కోరదు. గేట్వే రెండో వైపు కావచ్చు, ప్రారంభంలో స్వయంగా చొరవ తీసుకోవచ్చు లేదా సరిపోయే ట్రాఫిక్ మేల్కొలిపే వరకు వేచి ఉండవచ్చు. మూడూ చెల్లుబాటు అవుతాయి, మూడూ కాన్ఫిగరేషన్ ఫైల్లో మీరు ప్రారంభ విధానాన్ని చదివే వరకు ఒకేలా కనిపిస్తాయి.
ఆపరేటర్లు నిర్వచనాల జాబితాను స్థితి జాబితాగా చదవడం వల్ల ఇబ్బందుల్లో పడతారు. ప్రొఫైల్ ఉంది, కాబట్టి టన్నెల్ యాక్టివ్గా భావిస్తారు, మరియు తర్వాతి గంట ఎప్పుడూ నిర్మించని అసోసియేషన్ కోసం మార్గాలను డీబగ్ చేయడంలో గడుస్తుంది.
వ్యతిరేక తప్పు కూడా అంతే సాధారణం. ప్రొఫైల్ లేనప్పుడు ప్రజలు నెట్వర్క్ వైఫల్యం వెతకడానికి పంపబడతారు, కాన్ఫిగరేషన్ ఎప్పుడూ లోడ్ కాలేదు. వస్తువుకు పేరు పెట్టండి, తర్వాత దాన్ని గమనించే ఆదేశాన్ని అమలు చేయండి.
మూడు వస్తువులు, మూడు పరిశీలనలు
strongSwan లోడ్ చేసిన నిర్వచనం, IKE SA మరియు CHILD SAను ఉంచుతుంది. మొదటిది కాన్ఫిగరేషన్, రెండవది ధృవీకరించబడిన నియంత్రణ సంబంధం, మూడవది ఎంచుకున్న ట్రాఫిక్ కోసం చర్చించి నిర్ణయించిన రక్షణ. వాటికి వేర్వేరు పేర్లు కూడా ఉన్నాయి, కాబట్టి hq అనే ప్రొఫైల్ hq-lan అనే childను కలిగి ఉండవచ్చు.
పట్టిక ప్రతి పొరను దాన్ని చూపించే ఆదేశానికి జోడిస్తుంది. లాగ్ చదవడానికి ముందు వరుసను చదవండి.
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
childను అడగడం ఏదీ లేనప్పుడు మొదట దాని మూల IKE SAను నిర్మిస్తుంది. IKE SAను మాత్రమే అడగడం మరో పిలుపు. సరిగ్గా ధృవీకరించే నియంత్రణ ఛానెల్ అడిగిన childకు హామీ ఇవ్వదు.
ఈ భేదం పాక్షిక వైఫల్యం సమయంలో ముఖ్యం. IKE SA ఆరోగ్యంగా ఉండవచ్చు, అయితే child ఎంపికలో పొందిక లేకపోవడం లేదా పీర్ అంగీకరించని ప్రతిపాదన కారణంగా విఫలమవుతుంది. రెండు వస్తువులు వేర్వేరు కారణాల వల్ల విఫలమవుతాయి, కాబట్టి అవి వేర్వేరు పరిశీలనలకు అర్హం.
ప్రారంభ చర్యను ఉద్దేశపూర్వకంగా ఎంచుకోండి
swanctl.confలో child యొక్క start_action లోడ్ అయిన తర్వాత ప్రవర్తనను నిర్ణయిస్తుంది. డిఫాల్ట్ none నిర్వచనాన్ని చేతితో ప్రారంభించడానికి లేదా responderగా వాడటానికి వదిలిస్తుంది. start దాన్ని డయల్ చేస్తుంది, అయితే trap సరిపోయే ట్రాఫిక్ కనిపించగానే చర్చించే విధానాన్ని వదిలిస్తుంది.
కాబట్టి «లోడ్ చేయడం ఎప్పుడూ టన్నెల్ ప్రారంభించదు» మరియు «లోడ్ చేయడం ఎప్పుడూ ఒకదాన్ని ప్రారంభిస్తుంది» రెండూ తప్పు. చర్య ప్రొఫైల్లో భాగం మరియు అది పీర్ పాత్రకు సరిపోవాలి. రెండు గేట్వేలు రెండూ ఎదుటి వైపు కోసం వేచి ఉంటే నిశ్శబ్దం ఏర్పడుతుంది, టన్నెల్ కాదు.
trapతో ట్రాఫిక్ ఎంపికలకు సరిపోవాలి, కాబట్టి సంబంధం లేని ping ఏదీ మేల్కొలపదు. startతో పీర్ చిరునామా ఉపయోగించదగినదిగా ఉండాలి మరియు రెండు వైపులా ధృవీకరణ మరియు ప్రతిపాదనలపై అంగీకరించాలి. ఏ చర్యా ఈ షరతుల తనిఖీకి ప్రత్యామ్నాయం కాదు.
పునరుద్ధరణ ప్రత్యేక విధానం
ప్రారంభం keepalive కాదు. చనిపోయిన పీర్ను గుర్తించడం, పీర్ స్పష్టంగా మూసివేయడం, కీలను పునరుద్ధరించడం మరియు ప్రక్రియను పునఃప్రారంభించడం వివిధ జీవితచక్ర సంఘటనలు, వాటికి సొంత సెట్టింగ్లు ఉంటాయి. ప్రతిదాన్ని ఉద్దేశపూర్వకంగా కాన్ఫిగర్ చేయండి, ప్రారంభ ప్రారంభం అన్నింటినీ కవర్ చేస్తుందని ఆశించడం బదులు.
బూట్లో లేచి గంట తర్వాత చనిపోయే టన్నెల్ పునరుద్ధరణ ప్రశ్న. ప్రారంభ విధానం తన పని చేసి తర్వాత ముఖ్యమైనదిగా ఉండటం మానేసింది. ప్రారంభ చర్చలను నిందించే ముందు DPD మరియు కీ పునరుద్ధరణ సెట్టింగ్లను చూడండి.
లోడ్ చేసిన నిర్వచనాలను భర్తీ చేయడం ప్రత్యేక చర్య. డిఫాల్ట్ కాని ప్రారంభ విధానాలకు పత్రీకరించిన వ్యతిరేక చర్యలు ఉంటాయి, మరియు రీలోడ్ చేయడం కార్యాచరణ మార్పు, ప్రతి అసోసియేషన్ అక్కడికక్కడే నవీకరించబడిందని ఊహించడం కాదు. రీలోడ్లను దశలవారీగా చేయండి, మళ్లీ కనెక్ట్ అవడం ఆమోదయోగ్యమైన చోట. కొత్తది నిరూపితమయ్యే వరకు పాత కాన్ఫిగరేషన్ ఉంచండి.
రూటింగ్ను డీబగ్ చేసే ముందు ఏమి ఉందో తనిఖీ చేయండి
మూడు పరిశీలనలను క్రమంగా చేయండి: లోడ్ చేసిన నిర్వచనాలు, యాక్టివ్ IKE SAలు మరియు child నమోదులు. ప్రతి సమాధానం తదుపరి ప్రశ్నను సన్నగిల్లుస్తుంది. ఒక అడుగు దాటవేస్తే చివరికి ఎప్పుడూ నిర్మించని పొరను డీబగ్ చేస్తారు.
లోడ్ అయిన దానితో మరియు నిజంగా స్థాపించబడిన దానితో ప్రారంభించండి:
swanctl --list-conns
swanctl --list-sasప్రొఫైల్ సరిగ్గా ఉన్నప్పుడు child లేకపోతే, దాన్ని పేరుతో ప్రారంభించి ఏమి జరుగుతుందో గమనించండి. అవుట్పుట్ సాధారణంగా మూలం మొదట లేచిందా అని చెబుతుంది.
swanctl --initiate --child hq-lanయాక్టివ్ CHILD SA ముగింపు రేఖ కాదు. ఫార్వార్డింగ్ నియమాలు, మార్గాలు మరియు అప్లికేషన్ సొంత అధికారం ఇంకా సరిపోవాలి. జీవితచక్రం ఏమి చర్చించారో సమాధానమిస్తుంది; ఎవరు సేవను ఉపయోగించవచ్చో అది నిర్ణయించలేదు.