Yuklangan strongSwan profili faol tunnel emas
strongSwan ta'riflarni yuklaydi, so'ng IKE va CHILD SA-larni kelishadi. Profil yuklanganligi tunnel bor-yo'qligi yoki uni kim boshlashini bildirmaydi.
strongSwan konfiguratsiyasida ulanishni sanab o'tish faqat ta'rif yuklanganini isbotlaydi. Bu sherik bilan bog'lanilganini, IKE SA mavjudligini yoki biron trafik himoyalanganini anglatmaydi. Demon ta'riflar va tirik assotsiatsiyalarni alohida obyektlar deb biladi, ular orasidagi masofa esa ataylab qilingan dizayn tanlovidir. Qaysi obyektni tekshirayotganingizni bilish noaniq nosozlikni aniq keyingi buyruqqa aylantiradi.
Yuklash — ulanish emas
Yuklangan ulanish keyinchalik nimalar kelishilishi mumkinligi haqidagi bayonot: sherik manzillari, hisob ma'lumotlari, takliflar va trafik selektorlari. Bu bayonotda demonning kimgadir qo'ng'iroq qilganini talab qiladigan hech narsa yo'q. Shlyuz qarshi tomonni kutishi, ishga tushishda tashabbus ko'rsatishi yoki mos trafik uni uyg'otishini kutishi mumkin. Uchalasi ham to'g'ri va uchalasi ham ishga tushish siyosatini o'qiguningizcha konfiguratsiya faylida bir xil ko'rinadi.
Operatorlar ta'riflar ro'yxatini holat ro'yxati sifatida o'qib muammoga tushadi. Profil bor, shuning uchun tunnel ko'tarilgan deb hisoblanadi va keyingi soat hech qachon qurilmagan assotsiatsiya marshrutlarini tuzatishga ketadi.
Qarama-qarshi xato ham shunchalik keng tarqalgan. Yo'q profil odamlarni konfiguratsiya hech qachon yuklanmagan bo'lsa-da, tarmoq nosozligini qidirishga yuboradi. Obyektni nomlang va keyin uni kuzatadigan buyruqni bajaring.
Uch obyekt, uch kuzatuv
strongSwan yuklangan ta'rifni, IKE SA va CHILD SA-ni saqlaydi. Birinchisi konfiguratsiya, ikkinchisi autentifikatsiya qilingan boshqaruv munosabati, uchinchisi esa tanlangan trafik uchun kelishilgan himoya. Ularning hatto alohida nomlari bor, shuning uchun hq nomli profil hq-lan nomli child-ga ega bo'lishi mumkin.
Jadval har bir qatlamni uni ko'rsatadigan buyruq bilan bog'laydi. Jurnalni o'qishdan oldin qatorni o'qing.
| Layer | What it contains | Command |
|---|---|---|
| Definition | Peer addresses, credentials, proposals, and traffic selectors | swanctl --list-conns |
| IKE SA | One authenticated control channel to the peer | swanctl --list-sas |
| CHILD SA | Keys and selectors for the traffic being protected | Child rows under the IKE SA |
Child-ni so'rash, agar u bo'lmasa, avval uning ota-ona IKE SA-ni quradi. Faqat IKE SA-ni so'rash boshqa chaqiruv. To'g'ri autentifikatsiya qiluvchi boshqaruv kanali so'ralgan child-ni kafolatlamaydi.
Bu farq qisman nosozlik paytida muhim. IKE SA sog'lom bo'lishi mumkin, ammo child selektor nomuvofiqligi yoki sherik qabul qilmaydigan taklif tufayli muvaffaqiyatsiz bo'ladi. Ikki obyekt turli sabablarga ko'ra muvaffaqiyatsiz bo'ladi, shuning uchun ular alohida kuzatuvlarga loyiq.
Ishga tushish amalini ataylab tanlang
swanctl.conf ichida child-ning start_action parametri yuklangandan keyingi xatti-harakatni belgilaydi. Standart none qiymati ta'rifni qo'lda ishga tushirish yoki responder sifatida foydalanish uchun qoldiradi. start uni chaqiradi, holbuki trap mos trafik paydo bo'lishi bilan kelishadigan siyosatni qoldiradi.
Shunday qilib, «yuklash hech qachon tunnelni ishga tushirmaydi» ham, «yuklash doim uni ishga tushiradi» ham noto'g'ri. Amal profilning qismi va sherikning roliga mos kelishi kerak. Ikkisi ham qarshi tomonni kutayotgan ikkita shlyuz sukunat hosil qiladi, tunnel emas.
trap paytida trafik selektorlarga mos kelishi kerak, shuning uchun aloqasiz ping hech narsani uyg'otmaydi. start paytida sherik manzili foydalanishga yaroqli bo'lishi va ikkala tomon autentifikatsiya hamda takliflar bo'yicha kelishishi kerak. Amallarning hech biri bu shartlarni tekshirishni almashtirmaydi.
Tiklash — alohida siyosat
Ishga tushish keepalive emas. O'lik sherikni aniqlash, sherikning aniq yopishi, kalitlarni yangilash va jarayonni qayta ishga tushirish o'z sozlamalariga ega turli hayot sikli hodisalaridir. Har birini ataylab sozlang, dastlabki ishga tushish ularning barchasini qamrab oladi deb kutmasdan.
Ishga tushishda ko'tarilib, bir soatdan keyin o'ladigan tunnel tiklash masalasidir. Ishga tushish siyosati o'z ishini qildi va keyin ahamiyatli bo'lishdan to'xtadi. Dastlabki muzokarani ayblashdan oldin DPD va kalit yangilash sozlamalarini ko'rib chiqing.
Yuklangan ta'riflarni almashtirish alohida operatsiya. Nostandart ishga tushish siyosatlarining hujjatlashtirilgan teskari amallari bor va qayta yuklash operatsion o'zgarish, har bir assotsiatsiya joyida yangilangan degan taxmin emas. Qayta yuklashlarni qayta ulanish maqbul bo'lgan bosqichlarda bajaring. Eski konfiguratsiyani yangisi isbotlanmaguncha saqlang.
Marshrutlashni tuzatishdan oldin nima borligini tekshiring
Uch kuzatuvni tartib bilan bajaring: yuklangan ta'riflar, faol IKE SA va child yozuvlari. Har bir javob keyingi savolni toraytiradi. Bir qadamni o'tkazib yuborsangiz, oxirida hech qachon qurilmagan qatlamni tuzatasiz.
Yuklanganidan va haqiqatan o'rnatilganidan boshlang:
swanctl --list-conns
swanctl --list-sasProfil to'g'ri bo'lsa-da child yo'q bo'lsa, uni nomi bilan ishga tushiring va nima bo'lishini kuzating. Chiqish odatda ota-ona birinchi ko'tarilganini aytadi.
swanctl --initiate --child hq-lanFaol CHILD SA — marra chizig'i emas. Yo'naltirish qoidalari, marshrutlar va ilovaning o'z ruxsati hali ham mos kelishi kerak. Hayot sikli nima kelishilganini javob beradi; u xizmatdan kim foydalanishi mumkinligini hal qila olmaydi.