Bir tanesi ayakta, sıfır bağlanıyor: o strongSwan satırı neyi sayıyor

Security Associations (1 up, 0 connecting) diyen bir durum satırı okuyun ve tek bir çalışan tünelin raporu gibi görünür. İki alt ağ aynı anda onun üzerinden trafik geçiriyor, bu yüzden sayı yalan söylüyor gibi görünür. Yalan söylemiyor; IKE ilişkilerini sayıyor ve bunlardan biri birkaç çocuğu barındırabilir. Bir öneriye veya rotaya dokunmadan önce envanterleri okuyun.

Başlık ve trafik neden uyuşmuyor

Eski stroke çıktısı toplamını güvenlik ilişkileri olarak adlandırır ve bunu IKE ilişki yöneticisinden alır. Kurulan her IKE ilişkisi bir tane ekler, altında kaç CHILD SA olduğuna bakılmaksızın. Tek bir IKEv2 ebeveyni genellikle birkaç çocuk taşır, her trafik seçici çifti için bir tane ve bir çocuğun anlaşılan seçicileri birden fazla adresi veya öneki kapsayabilir. Bu yüzden yapılandırmanızdaki adres sayısının başlıktaki sayıyla sabit bir ilişkisi yoktur.

Modern çıktı bazen eski “up” ifadesi yerine bir toplam gösterir ve swanctl tarafından yönetilen bir daemon eski stroke ayarlarıyla hiç çalıştırılmaz. Sürümler arasında ne ifadeyi ne de sayma kuralını varsaymayın.

Herhangi bir şeyi değiştirmeden önce üç envanteri karşılaştırın

Yüklenenle başlayın, sonra anlaşılanla, sonra gerçekten paket taşıyanla. Bunlar üç farklı sorudur ve her birinin kendi komutu vardır.

swanctl --list-conns
swanctl --list-sas

Birincisi daemonun kabul ettiği bağlantı tanımlarını listeler. İkincisi kurulan IKE ilişkilerini çocuklarıyla birlikte listeler ve gerçek hiyerarşi tam orada görünür. Bir dosyada bulunan ama ilk listede olmayan tanım hiç yüklenmemiştir ve başlatıcının kaç kez yeniden denemesi bunu düzeltmez. Bunun yerine eski arayüzü çalıştırıyorsanız eşdeğer çift ipsec statusall ve aynı swanctl listesidir, yapılandırmanın hangi eklentiye ait olduğuna bağlı olarak. Aynı ana bilgisayardaki iki daemon arasında araçları karıştırmayın ve tek bir tutarlı yanıt beklemeyin.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Ham biçim tanımlayıcıları ve seçicileri karşılaştırma için görünür tutar ve çekirdek durum listesi yığının neyi kurduğunu sandığını gösterir. Daemon ile çekirdek uyuşmadığında ya daemon mevcut bir çocuğun etrafında yeniden başlatılmıştır ya da çekirdek nesnesi altından kaldırılmıştır.

Hiyerarşiyi okuyun, toplamı değil

İki çocuklu örnek bir kurulu ebeveyn, altında iki çocuk bulunan tek bir düğüm gibi görünür, her biri kendi durumu ve kipiyle etiketlenmiştir. Birinin panodan yapıştırdığı özeti okumak yerine gerçek çıktıyı dökün ve çocukları kendiniz sayın.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

İki kurulu çocuğu olan bir ebeveyn sağlıklı bir iki alt ağ tünelidir. Bir kurulu ve bir eksik çocuğu olan bir ebeveyn başka bir durumdur ve eksik çocuğun seçicileri uzak tarafın önerisiyle karşılaştırılacak şeydir. Anahtar yenileme sırasında eski bir çocuk ve yerine geçeni kısa bir süre birlikte görünebilir. Zaman damgasını anlık görüntüyle birlikte saklayın, çünkü yenilemenin ortasında alınan sayım çoğaltma gibi, sonrasında alınan sayım ise kayıp gibi görünür.

Yüklenen, kurulu ve trafik geçen

Kurulu durumdaki bir çocuğun anlaşılmış parametreleri ve çekirdekte bir girdisi vardır. Ancak mutlaka bir paket taşımış değildir: seçiciler beklediğiniz trafikten daha dar olabilir ve bir rota o trafiği tünel onu görmeden önce başka bir yere gönderebilir. Yetkili bir ana bilgisayardan anlaşılan seçicilerle eşleşen bir akış gönderin, sonra başlık yerine çocuğun sayaçlarını okuyun. Eşleşen trafik üretirken sıfırda kalan bir sayaç IKE’yi değil yönlendirmeyi veya politikayı işaret eder.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Adlandırılmış bir çocuğu başlatmak görünür sonucu olan bilinçli bir eylemdir ve “kimse istemediği için bağlantı boşta” ile “bağlantı yükselemiyor” arasını ayırır. İstek üzerine tuzak politikası tam olarak ilk durum gibi davranır, bu yüzden ona arıza demeden önce bağlantının başlatma ayarını okuyun.

Sayı gerçekten yanlış olduğunda

Yüklenen envanterde bir tanım eksikse yapılandırmanın yüklenmesine ve hangi daemon örneğinin çalıştığına bakın. Yüklenmiş ama hiç anlaşmıyorsa önerileri, kimlik doğrulama bağlamını ve seçicileri karşı tarafla karşılaştırın, her seferinde bir çocuk. Her denemede bir öğeyi değiştirin ve değiştirdiğiniz tanımlayıcıyı not edin. Hangi olduğunu bildiğinizde öneriyi geri almak önemsizdir; hiç ayrılmamış üç düzenlemeden sonra bu bir tahmindir.

Önce yanlış okumayı düzeltin. “Kayıp” ikinci tünel hakkındaki raporların çoğu tek bir ebeveynin altında iki kurulu çocukla biter ve bugüne kadar bozulmuş tek şey insanların hiyerarşi yerine güvendiği özet satırıydı.