ipsec.conf o swanctl.conf? Pumili ng isang frontend ng strongSwan

Ang gumaganang profile ng IKEv1 mula sa mas lumang gabay ay dumarating sa Ubuntu 24.04, at nabigo ang unang pagtatangka dahil hindi kailanman binasa ng daemon ang file. Ang karaniwang tugon ay i-edit muli ang profile. Ang tunay na tanong ay aling frontend ng strongSwan ang naka-install at alin ang ginagamit ng tumatakbong serbisyo. Hanggang hindi iyon nasasagot, ang bawat pag-edit ay naka-target sa isang loader na maaaring wala.

Dalawang file, dalawang loader, isang daemon

Ang lumang starter setup ay nagbabasa ng ipsec.conf at inihahatid ang mga koneksyon sa charon sa pamamagitan ng lumang integrasyon nito sa pamamahala. Ang operational na entry point nito ay ang command na ipsec.

Ang swanctl setup ay naglo-load ng mga depinisyon sa pamamagitan ng VICI, nagbabasa ng swanctl.conf, at pinapatakbo ng command na swanctl. Ang charon daemon na katutubo sa systemd ay nag-iintegrate sa ganitong paraan.

Maaaring parehong naka-install ang dalawa sa isang makina, at doon nagsisimula ang kalituhan. Ang file sa ilalim ng /etc ay nagpapatunay lamang na may sumulat nito, hindi na ito na-load ng tumatakbong proseso. Ang pag-install ng bawat alternatibo para makita kung alin ang gumagana ay lumilikha ng host na may dalawang landas ng pamamahala at walang malinaw na may-ari. Pumili ng isang setup at alisin o huwag paganahin ang isa.

Basahin ang mga naka-install na pakete at unit

Magsimula sa read-only. Ang mga pangalan ng pakete sa Ubuntu 24.04 ay magkahiwalay: strongswan-starter, strongswan-swanctl, at charon-systemd. Ang nawawalang pakete ay kapaki-pakinabang na impormasyon, hindi utos na i-install ito.

Iimbentaryo ang mga pakete at unit sa isang pagdaan:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Pagkatapos ay suriin ang aktibong unit at ang command ng pagsisimula nito. Sinasabi ng pangalan ng unit kung aling daemon ang may-ari ng konfigurasyon, at kinukumpirma ng command line kung aling mga file ang inutusang basahin. Ang unit na pinagana ngunit hindi aktibo ay nagsasalaysay ng ibang kuwento kaysa sa tumatakbo ngayon.

Kung ang aktibong unit ay strongswan-starter, ang mahalagang file ay ipsec.conf. Kung ito ay charon-systemd na may swanctl, ang ipsec.conf ay dekorasyon lamang.

Gamitin ang tugmang landas ng kontrol

Bawat frontend ay may sariling pananaw sa mga koneksyon at asosasyon. Ipinapakita ng swanctl --list-conns ang mga na-load na depinisyon at ng swanctl --list-sas ang mga aktibong asosasyon. Ginagamit ng lumang landas ang ipsec statusall.

Ang paghahalo ng mga ito ay gumagawa ng mapaglinlang na mga error. Ang nawawalang VICI socket o tinanggihang control request ay problema ng landas ng pamamahala, hindi ebidensya na tinanggihan ng kabilang panig ang pagpapatunay.

Basahin ang pananaw na pag-aari ng tumatakbong daemon, pagkatapos ay bigyang-kahulugan ang resulta. Kung wala ang koneksyon sa pananaw na iyon, ang problema ay pag-load, hindi negosasyon.

Ang format ay hindi ang bersyon ng IKE

Pinipili ng lumang profile ang IKEv1 gamit ang keyexchange=ikev1. Gumagamit ang koneksyon ng swanctl ng setting ng bersyon, kung saan pinipili ng 1 ang IKEv1. Ito ay dalawang bokabularyo para sa parehong ideya, hindi isang pagbabago ng anyo.

Ang mga address ng kabilang panig, lokal at malayong pagkakakilanlan, pinagmulan ng kredensyal, mga panukala, at child selector ay dapat sadyang imapa. Ang pag-paste ng left/right block sa sintaks ng swanctl ay walang ginagawa sa mga iyon.

Ang pagbabago lamang ng bersyon ng protocol ang pinakakaraniwang kalahating migrasyon. Gumagawa ito ng file na naglo-load at pagkatapos ay nabigo sa pagpapatunay dahil sa mga dahilang walang kaugnayan sa bersyon. Ang IKEv1 mismo ay lipas na sa RFC 9395, kaya ang umiiral na kabilang panig na kailangan pa rin ito ay karapat-dapat sa dokumentadong paghihigpit sa pagiging tugma at landas ng migrasyon, hindi sa bagong default.

Suriin ang loader bago hawakan ang profile

Patakbuhin muna ang pagsusuri ng loader, pagkatapos ay i-load ang nilalayong koneksyon, pagkatapos ay suriin ang negosasyon, at sa huli ang landas ng protektadong trapiko. Bawat yugto ay may ibang lagda ng kabiguan.

Ang dalawang landas ng kontrol ay direktang sumasagot sa tanong ng pag-load:

swanctl --list-conns
ipsec statusall

Isa lamang sa mga command na iyon ang pag-aari ng iyong host. Ang pagpapatakbo ng dalawa at paghahambing ng output ay paraan upang malaman kung alin ang nagsisinungaling sa iyo, hindi paraan ng diagnosis.

Ituring ang pagmamay-ari ng pakete, pag-load ng konfigurasyon, at pagiging tugma ng protocol bilang tatlong magkahiwalay na tanong. Ang file na valid para sa isang frontend ay paulit-ulit na i-edit habang ibang daemon ang tumatakbo.