ipsec.conf yoki swanctl.conf? Bitta strongSwan frontend tanlang

Eski qo'llanmadagi ishlaydigan IKEv1 profili Ubuntu 24.04 ga tushadi va birinchi urinish muvaffaqiyatsiz bo'ladi, chunki daemon faylni hech qachon o'qimagan. Odatiy javob profilni yana tahrirlashdir. Haqiqiy savol qaysi strongSwan frontend o'rnatilgani va ishlab turgan xizmat qaysinisidan foydalanishidir. Bu javoblanmaguncha, har bir tahrir mavjud bo'lmasligi mumkin bo'lgan yuklagichga qaratiladi.

Ikki fayl, ikki yuklagich, bitta daemon

Eski starter tartibi ipsec.conf ni o'qiydi va ulanishlarni o'zining eski boshqaruv integratsiyasi orqali charon ga topshiradi. Uning operatsion kirish nuqtasi ipsec buyrug'i.

swanctl tartibi ta'riflarni VICI orqali yuklaydi, swanctl.conf ni o'qiydi va swanctl buyrug'i bilan boshqariladi. systemd ga xos charon daemoni bu yondashuv bilan integratsiyalashadi.

Ikkalasi ham bitta mashinada o'rnatilgan bo'lishi mumkin va chalkashlik aynan shu yerda boshlanadi. /etc ostidagi fayl faqat kimdir uni yozganini isbotlaydi, ishlab turgan jarayon uni yuklaganini emas. Qaysi biri ishlashini ko'rish uchun har bir variantni o'rnatish ikkita boshqaruv yo'li bo'lgan va aniq egasi yo'q xost yaratadi. Bitta tartibni tanlang va ikkinchisini olib tashlang yoki o'chiring.

O'rnatilgan paketlar va unit larni o'qing

Faqat o'qish rejimida boshlang. Ubuntu 24.04 da paket nomlari alohida: strongswan-starter, strongswan-swanctl va charon-systemd. Yo'q paket foydali ma'lumot, uni o'rnatish haqida ko'rsatma emas.

Paketlar va unit larni bir o'tishda ro'yxatga oling:

dpkg-query -W strongswan-starter strongswan-swanctl charon-systemd
systemctl list-unit-files '*strongswan*'

Keyin faol unit va uning ishga tushirish buyrug'ini tekshiring. Unit nomi qaysi daemon konfiguratsiyaga egaligini aytadi, buyruq satri esa unga qaysi fayllarni o'qish buyurilganini tasdiqlaydi. Yoqilgan, lekin faol bo'lmagan unit hozir ishlab turganidan boshqacha hikoya aytadi.

Agar faol unit strongswan-starter bo'lsa, muhim fayl ipsec.conf. Agar u swanctl bilan charon-systemd bo'lsa, ipsec.conf shunchaki bezak.

Mos boshqaruv yo'lidan foydalaning

Har bir frontend ulanishlar va assotsiatsiyalar haqida o'z qarashiga ega. swanctl --list-conns yuklangan ta'riflarni, swanctl --list-sas faol assotsiatsiyalarni ko'rsatadi. Eski yo'l ipsec statusall dan foydalanadi.

Ularni aralashtirish chalg'ituvchi xatolar keltiradi. Yo'q VICI soketi yoki rad etilgan boshqaruv so'rovi boshqaruv yo'li muammosi, qarshi tomon autentifikatsiyani rad etganiga dalil emas.

Ishlab turgan daemonga tegishli qarashni o'qing, so'ng natijani talqin qiling. Agar ulanish bu qarashda bo'lmasa, muammo yuklashda, muzokarada emas.

Format IKE versiyasi emas

Eski profil IKEv1 ni keyexchange=ikev1 bilan tanlaydi. swanctl ulanishi versiya sozlamasidan foydalanadi, unda 1 IKEv1 ni tanlaydi. Bular bir g'oya uchun ikki lug'at, konvertatsiya emas.

Qarshi tomon manzillari, mahalliy va masofaviy identifikatsiyalar, ishonchnoma manbalari, takliflar va child selektorlari ataylab xaritalanishi kerak. left/right blokini swanctl sintaksisiga yopishtirish bulardan hech birini qilmaydi.

Faqat protokol versiyasini o'zgartirish eng keng tarqalgan yarim migratsiyadir. U yuklanadigan, so'ng versiyaga aloqasiz sabablarga ko'ra autentifikatsiyadan o'tmaydigan fayl yaratadi. IKEv1 ning o'zi RFC 9395 bilan eskirgan, shuning uchun hali ham uni talab qiladigan mavjud qarshi tomon hujjatlashtirilgan moslik cheklovi va migratsiya yo'liga loyiq, yangi standart qiymatga emas.

Profilga tegishdan oldin yuklagichni tekshiring

Avval yuklagich tekshiruvini bajaring, keyin ko'zda tutilgan ulanishni yuklang, keyin muzokaralarni, oxirida himoyalangan trafik yo'lini baholang. Har bir bosqichning muvaffaqiyatsizlik belgisi boshqacha.

Ikki boshqaruv yo'li yuklash savoliga bevosita javob beradi:

swanctl --list-conns
ipsec statusall

Bu buyruqlardan faqat bittasi sizning xostingizga tegishli. Ikkalasini ishga tushirib chiqishni qiyoslash qaysi biri sizga yolg'on gapirayotganini aniqlash usuli, diagnostika usuli emas.

Paket egaligini, konfiguratsiyani yuklashni va protokol mosligini uchta alohida savol deb qarang. Bitta frontend uchun yaroqli fayl boshqa daemon ishlab turganida qayta-qayta tahrirlanadi.