Isa ang nakaangat, sero ang kumokonekta: ano ang binibilang ng linyang strongSwan

Basahin ang linyang estado na nagsasabing Security Associations (1 up, 0 connecting) at mukha itong ulat tungkol sa isang tunnel na gumagana. Dalawang subnet ang nagpapadala ng trapiko dito nang sabay, kaya mukhang nagsisinungaling ang bilang. Hindi ito nagsisinungaling; binibilang nito ang mga asosasyong IKE, at ang isa sa mga ito ay maaaring maglaman ng maraming anak. Basahin ang mga imbentaryo bago mo hawakan ang isang panukala o isang ruta.

Bakit hindi tugma ang pamagat at ang trapiko

Tinatawag ng lumang output ng stroke ang kabuuan nito na mga asosasyon ng seguridad at hinango ito mula sa tagapamahala ng mga asosasyong IKE. Ang bawat naitatag na asosasyong IKE ay nagdadagdag ng isa, gaano man karaming CHILD SA ang nasa ilalim nito. Ang isang magulang na IKEv2 ay karaniwang may dalang maraming anak, isa sa bawat pares ng tagapili ng trapiko, at ang napagkasunduang tagapili ng isang anak ay maaaring sumaklaw ng higit sa isang address o prefix. Kaya ang bilang ng mga address sa iyong config ay walang takdang kaugnayan sa bilang sa pamagat.

Ang makabagong output ay kung minsan nagpapakita ng kabuuan sa halip ng lumang salitang “up”, at ang daemon na pinamamahalaan ng swanctl ay hindi pinapatakbo ng mga lumang setting ng stroke. Huwag ipagpalagay ang salita o ang tuntunin ng pagbilang sa pagitan ng mga bersyon.

Ihambing ang tatlong imbentaryo bago magbago ng anuman

Magsimula sa kung ano ang na-load, pagkatapos sa napagkasunduan, pagkatapos sa aktuwal na naglilipat ng mga packet. Tatlong magkaibang tanong ito at bawat isa ay may sariling utos.

swanctl --list-conns
swanctl --list-sas

Ang una ay naglilista ng mga depinisyon ng koneksyon na tinanggap ng daemon. Ang pangalawa ay naglilista ng mga naitatag na asosasyong IKE kasama ang kanilang mga anak, at doon lumilitaw ang tunay na herarkiya. Ang depinisyon na nasa file ngunit wala sa unang listahan ay hindi kailanman na-load, at walang dami ng muling pagtatangka ng nagpasimula ang makakapag-ayos nito. Kung sa halip ay pinapatakbo mo ang lumang interface, ang katumbas na pares ay ipsec statusall at ang parehong listahan ng swanctl, depende sa kung aling plugin ang may-ari ng config. Huwag paghalo ang mga kasangkapan sa pagitan ng dalawang daemon sa isang host at huwag umasa ng isang magkakaugnay na sagot.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Ang hilaw na anyo ay nagpapanatili ng mga identifier at tagapili na nakikita para sa paghahambing, at ang listahan ng estado ng kernel ay nagpapakita kung ano ang inaakalang naka-install ng stack. Kapag hindi nagkakasundo ang daemon at ang kernel, maaaring na-restart ang daemon sa paligid ng umiiral na anak o inalis ang object ng kernel sa ilalim nito.

Basahin ang herarkiya, hindi ang kabuuan

Ang isang halimbawang naitatag na magulang na may dalawang anak ay mukhang isang node na may dalawang anak sa ilalim, bawat isa ay may label ng sariling estado at mode. I-dump ang aktuwal na output at ikaw mismo ang magbilang ng mga anak sa halip na basahin ang buod na ipinaskil ng iba mula sa dashboard.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Ang isang magulang na may dalawang naka-install na anak ay isang malusog na tunnel ng dalawang subnet. Ang isang magulang na may isang naka-install at isang nawawalang anak ay ibang sitwasyon, at ang mga tagapili ng nawawalang anak ang dapat ihambing sa panukala ng malayong panig. Sa panahon ng pagpapalit ng susi, ang lumang anak at ang kapalit nito ay maaaring sabay na lumitaw nang sandali. Itago ang timestamp kasama ng snapshot, dahil ang bilang na kinuha sa gitna ng pagpapalit ay mukhang pagdoble at ang kinuha pagkatapos ay mukhang pagkawala.

Naka-load, naka-install at trapikong dumadaan

Ang anak na nasa naka-install na estado ay may napagkasunduang parameter at entry sa kernel. Ngunit hindi necessarily nakapagdala ito ng packet: ang mga tagapili ay maaaring makitid kaysa sa trapikong inaasahan mo, at ang isang ruta ay maaaring magpadala ng trapikong iyon sa ibang lugar bago pa man ito makita ng tunnel. Magpadala ng daloy na tumutugma sa napagkasunduang tagapili mula sa awtorisadong host, pagkatapos basahin ang mga counter ng anak sa halip na ang pamagat. Ang counter na nananatiling sero habang gumagawa ka ng tumutugmang trapiko ay tumutukoy sa routing o patakaran, hindi sa IKE.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Ang pagsisimula ng pinangalanang anak ay isang sadyang aksyon na may nakikitang resulta, at pinaghihiwalay nito ang “ang koneksyon ay idle dahil walang humiling” sa “hindi makabangon ang koneksyon”. Ang patakarang bitag kapag hiniling ay kumikilos nang eksakto tulad ng unang kaso, kaya basahin ang setting ng pagsisimula ng koneksyon bago mo ito tawaging sira.

Kapag talagang mali ang bilang

Kung may nawawalang depinisyon sa na-load na imbentaryo, tingnan ang pag-load ng config at kung aling instance ng daemon ang tumatakbo. Kung na-load ito ngunit hindi kailanman nakikipagkasundo, ihambing ang mga panukala, konteksto ng pagpapatotoo at mga tagapili sa kapareha, isang anak sa isang pagkakataon. Baguhin ang isang elemento bawat pagtatangka at itala ang identifier na binago mo. Ang pag-urong ng panukala ay walang kahirap-hirap kapag alam mo kung alin; ito ay haka-haka pagkatapos ng tatlong pagbabagong hindi kailanman inihiwalay.

Itama muna ang maling pagbasa. Karamihan ng ulat tungkol sa “nawawalang” ikalawang tunnel ay nagtatapos sa dalawang naka-install na anak sa ilalim ng isang magulang, at ang tanging bagay na nasira kailanman ay ang linyang buod na pinagkatiwalaan ng mga tao sa halip na ang herarkiya.