ایک اوپر، صفر جڑ رہے: وہ strongSwan لائن کیا گنتی ہے

Security Associations (1 up, 0 connecting) کہنے والی حالت کی سطر پڑھیں اور یہ ایک چلتی سرنگ کی رپورٹ جیسی لگتی ہے۔ دو سب نیٹ ایک ہی وقت میں اس سے ٹریفک گزر رہے ہیں، اس لیے تعداد جھوٹ بولتی دکھتی ہے۔ یہ جھوٹ نہیں بولتی؛ یہ IKE انجمنیں گنتی ہے، اور ان میں سے ایک کئی چائلڈ رکھ سکتی ہے۔ کسی تجویز یا راستے کو چھونے سے پہلے فہرستیں پڑھیں۔

عنوان اور ٹریفک کیوں میل نہیں کھاتے

پرانا stroke آؤٹ پٹ اپنے کل کو حفاظتی انجمنیں کہتا ہے اور اسے IKE انجمن منیجر سے لیتا ہے۔ ہر قائم شدہ IKE انجمن ایک اضافہ کرتی ہے، چاہے اس کے نیچے کتنے CHILD SA ہوں۔ ایک IKEv2 والد عام طور پر کئی چائلڈ اٹھاتا ہے، ہر ٹریفک چنندہ جوڑی کے لیے ایک، اور چائلڈ کے طے شدہ چنندے ایک سے زیادہ پتہ یا سابقہ ڈھانپ سکتے ہیں۔ اس لیے آپ کی ترتیب میں پتوں کی تعداد کا عنوان کی تعداد سے کوئی مقررہ تعلق نہیں ہے۔

جدید آؤٹ پٹ کبھی کبھی پرانے “up” الفاظ کی جگہ کل دکھاتا ہے، اور swanctl کے زیر انتظام ڈیمن پرانے stroke کی ترتیبات سے بالکل نہیں چلتا۔ نسخوں کے درمیان نہ الفاظ کو مسلم جانیں اور نہ گنتی کے قاعدے کو۔

کچھ بدلنے سے پہلے تین فہرستوں کا موازنہ کریں

جو لوڈ ہوا ہے اس سے شروع کریں، پھر جو طے ہوا ہے، پھر جو واقعی پیکٹ ہلاتا ہے۔ یہ تین مختلف سوال ہیں اور ہر ایک کا اپنا حکم ہے۔

swanctl --list-conns
swanctl --list-sas

پہلی ان کنکشن تعریفوں کی فہرست دیتی ہے جو ڈیمن نے قبول کیں۔ دوسری قائم شدہ IKE انجمنوں کو ان کے چائلڈ کے ساتھ فہرست کرتی ہے، اور اصل درجہ بندی وہیں ظاہر ہوتی ہے۔ فائل میں موجود مگر پہلی فہرست میں نہ ہونے والی تعریف کبھی لوڈ نہیں ہوئی، اور آغاز کرنے والے کی کتنی ہی دوبارہ کوششیں اسے درست نہیں کریں گی۔ اگر آپ اس کے بجائے پرانا انٹرفیس چلاتے ہیں تو مساوی جوڑی ipsec statusall اور وہی swanctl فہرست ہے، اس پر منحصر کہ ترتیب کس پلگ ان کی ہے۔ ایک ہی میزبان پر دو ڈیمنوں کے درمیان اوزار نہ ملائیں اور ایک ہی مربوط جواب کی توقع نہ رکھیں۔

swanctl --list-sas --raw | head -40
ip -s xfrm state

خام شکل شناخت کنندگان اور چنندوں کو موازنے کے لیے نظر آنے والا رکھتی ہے، اور کرنل حالت کی فہرست دکھاتی ہے کہ اسٹیک کیا نصب کیا ہوا سمجھتا ہے۔ جب ڈیمن اور کرنل متفق نہ ہوں، تو یا ڈیمن موجودہ چائلڈ کے گرد دوبارہ شروع ہوا ہے یا کرنل آبجیکٹ اس کے نیچے سے ہٹا دیا گیا ہے۔

درجہ بندی پڑھیں، کل نہیں

دو چائلڈ والا ایک مثالی قائم شدہ والد ایک نوڈ جیسا لگتا ہے جس کے نیچے دو چائلڈ ہیں، ہر ایک اپنی حالت اور موڈ کے ساتھ نشان زد۔ کسی کے ڈیش بورڈ سے چپکائی گئی خلاصہ پڑھنے کے بجائے اصل آؤٹ پٹ نکالیں اور چائلڈ خود گنیں۔

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

دو نصب شدہ چائلڈ والا ایک والد صحت مند دو سب نیٹ سرنگ ہے۔ ایک نصب شدہ اور ایک غیر موجود چائلڈ والا والد مختلف صورتحال ہے، اور گم شدہ چائلڈ کے چنندے ہی وہ چیز ہیں جن کا دور کے فریق کی تجویز سے موازنہ کرنا ہے۔ کلید کی تجدید کے دوران پرانا چائلڈ اور اس کا متبادل تھوڑی دیر کے لیے اکٹھے نظر آ سکتے ہیں۔ اسنیپ شاٹ کے ساتھ وقت کی مہر رکھیں، کیونکہ تجدید کے وسط میں لی گئی گنتی نقل جیسی لگتی ہے اور اس کے بعد لی گئی گنتی نقصان جیسی۔

لوڈ شدہ، نصب شدہ اور گزرتی ٹریفک

نصب شدہ حالت میں چائلڈ کے طے شدہ پیرامیٹر اور کرنل میں اندراج ہوتا ہے۔ مگر ضروری نہیں کہ اس نے پیکٹ اٹھایا ہو: چنندے آپ کی متوقع ٹریفک سے تنگ ہو سکتے ہیں، اور راستہ اس ٹریفک کو سرنگ کے دیکھنے سے پہلے کہیں اور بھیج سکتا ہے۔ مجاز میزبان سے طے شدہ چنندوں سے میل کھاتا بہاؤ بھیجیں، پھر عنوان کے بجائے چائلڈ کے کاؤنٹر پڑھیں۔ میل کھاتا ٹریفک پیدا کرتے ہوئے صفر پر رہنے والا کاؤنٹر IKE نہیں، روٹنگ یا پالیسی کی طرف اشارہ کرتا ہے۔

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

نامزد چائلڈ کا آغاز کرنا نظر آنے والے نتیجے کے ساتھ جان بوجھ کر کیا گیا عمل ہے، اور یہ “کسی نے نہ مانگا اس لیے کنکشن بیکار ہے” کو “کنکشن اوپر نہیں آ سکتا” سے الگ کرتا ہے۔ طلب پر ٹریپ پالیسی پہلے معاملے کی طرح ہی برتاؤ کرتی ہے، اس لیے اسے خرابی کہنے سے پہلے کنکشن کی آغاز کی ترتیب پڑھیں۔

جب گنتی واقعی غلط ہو

اگر لوڈ شدہ فہرست میں تعریف نہ ہو تو ترتیب کے لوڈ ہونے اور یہ دیکھیں کہ کون سا ڈیمن نسخہ چل رہا ہے۔ اگر لوڈ ہے مگر کبھی متفق نہیں ہوتا تو تجاویز، توثیق کا سیاق و سباق اور چنندے ساتھی سے موازنہ کریں، ایک وقت میں ایک چائلڈ۔ ہر کوشش میں ایک عنصر بدلیں اور بدلا ہوا شناخت کنندہ لکھیں۔ کون سا ہے یہ معلوم ہو تو تجویز واپس لینا معمولی بات ہے؛ کبھی الگ نہ کی گئی تین ترمیموں کے بعد یہ اندازہ ہے۔

پہلے غلط پڑھائی درست کریں۔ “گم شدہ” دوسری سرنگ کے بارے میں زیادہ تر رپورٹیں ایک والد کے نیچے دو نصب شدہ چائلڈ پر ختم ہوتی ہیں، اور کبھی ٹوٹی ہوئی واحد چیز وہ خلاصہ سطر تھی جس پر لوگ درجہ بندی کے بجائے بھروسا کرتے تھے۔