ipsec.conf mu swanctl.conf mi? Tek bir strongSwan ön ucu seçin

Eski bir kılavuzdan gelen çalışan bir IKEv1 profili Ubuntu 24.04'e ulaşır ve ilk deneme başarısız olur çünkü daemon dosyayı hiç okumamıştır. Olağan tepki profili yeniden düzenlemektir. Asıl soru hangi strongSwan ön ucunun kurulu olduğu ve çalışan hizmetin hangisini kullandığıdır. Bu yanıtlanana kadar her düzenleme var olmayabilecek bir yükleyiciyi hedefler.

İki dosya, iki yükleyici, tek daemon

Eski starter düzeni ipsec.conf dosyasını okur ve bağlantıları eski yönetim entegrasyonu üzerinden charon'a devreder. İşletimsel giriş noktası ipsec komutudur.

swanctl düzeni tanımları VICI üzerinden yükler, swanctl.conf dosyasını okur ve swanctl komutuyla yürütülür. systemd'ye özgü charon daemon'u bu yaklaşımla bütünleşir.

İkisi de aynı makineye kurulabilir ve karışıklık tam orada başlar. /etc altındaki bir dosya yalnızca birinin onu yazdığını kanıtlar, çalışan sürecin onu yüklediğini değil. Hangisinin çalıştığını görmek için her alternatifi kurmak, iki yönetim yolu olan ve belirgin sahibi bulunmayan bir ana makine yaratır. Bir düzen seçin ve diğerini kaldırın veya devre dışı bırakın.

Kurulu paketleri ve unit'leri okuyun

Salt okunur başlayın. Ubuntu 24.04'te paket adları ayrıdır: strongswan-starter, strongswan-swanctl ve charon-systemd. Eksik paket yararlı bir bilgidir, onu kurma talimatı değildir.

Paketleri ve unit'leri tek geçişte envanterleyin:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Ardından etkin unit'i ve başlatma komutunu inceleyin. Unit adı yapılandırmanın hangi daemon'a ait olduğunu söyler, komut satırı ise hangi dosyaları okumasının istendiğini doğrular. Etkinleştirilmiş ama etkin olmayan bir unit, şu anda çalışandan farklı bir hikâye anlatır.

Etkin unit strongswan-starter ise önemli dosya ipsec.conf'tur. swanctl ile charon-systemd ise ipsec.conf sadece süslemedir.

Eşleşen denetim yolunu kullanın

Her ön ucun bağlantılar ve birliktelikler konusunda kendi görünümü vardır. swanctl --list-conns yüklenen tanımları, swanctl --list-sas etkin birliktelikleri gösterir. Eski yol ipsec statusall kullanır.

Bunları karıştırmak yanıltıcı hatalar üretir. Eksik VICI soketi veya reddedilen denetim isteği bir yönetim yolu sorunudur, karşı tarafın kimlik doğrulamayı reddettiğinin kanıtı değildir.

Çalışan daemon'a ait görünümü okuyun, ardından sonucu yorumlayın. Bağlantı o görünümde yoksa sorun yüklemededir, görüşmede değil.

Biçim, IKE sürümü değildir

Eski profil IKEv1'i keyexchange=ikev1 ile seçer. swanctl bağlantısı bir sürüm ayarı kullanır ve burada 1, IKEv1'i seçer. Bunlar aynı fikir için iki sözlüktür, dönüşüm değil.

Karşı tarafın adresleri, yerel ve uzak kimlikler, kimlik bilgisi kaynakları, öneriler ve child seçicileri bilerek eşlenmelidir. Bir left/right bloğunu swanctl sözdizimine yapıştırmak bunların hiçbirini yapmaz.

Yalnızca protokol sürümünü değiştirmek en yaygın yarım geçiştir. Yüklenen ve ardından sürümle ilgisiz nedenlerle kimlik doğrulamada başarısız olan bir dosya üretir. IKEv1'in kendisi RFC 9395 ile kullanımdan kaldırılmıştır, bu nedenle hâlâ onu gerektiren mevcut bir karşı taraf belgelenmiş bir uyumluluk kısıtını ve geçiş yolunu hak eder, yeni bir varsayılanı değil.

Profile dokunmadan önce yükleyiciyi denetleyin

Önce yükleyici denetimini çalıştırın, sonra amaçlanan bağlantıyı yükleyin, sonra görüşmeyi değerlendirin ve en son korunan trafiğin yolunu. Her aşamanın farklı bir hata imzası vardır.

İki denetim yolu yükleme sorusunu doğrudan yanıtlar:

swanctl --list-conns
ipsec statusall

Bu komutlardan yalnızca biri ana makinenize aittir. İkisini de çalıştırıp çıktıyı karşılaştırmak hangisinin size yalan söylediğini bulmanın yoludur, tanı yöntemi değil.

Paket sahipliğini, yapılandırma yüklemesini ve protokol uyumluluğunu üç ayrı soru olarak ele alın. Bir ön uç için geçerli olan dosya, başka bir daemon çalışırken tekrar tekrar düzenlenir.