Bittasi yuqorida, nol ulanmoqda: o'sha strongSwan satri nimani sanaydi

Security Associations (1 up, 0 connecting) deydigan holat satrini o'qing va u bitta ishlayotgan tunnel haqidagi hisobotga o'xshaydi. Ikkita quyi tarmoq bir vaqtda u orqali trafik o'tkazmoqda, shuning uchun raqam yolg'on gapirayotgandek ko'rinadi. U yolg'on gapirmaydi; u IKE assotsiatsiyalarini sanaydi va ulardan biri bir nechta bolani joylashtira oladi. Taklif yoki marshrutga tegishdan oldin ro'yxatlarni o'qing.

Nega sarlavha va trafik mos kelmaydi

Eski stroke chiqishi o'z jamini xavfsizlik assotsiatsiyalari deb ataydi va uni IKE assotsiatsiyalar menejeridan oladi. Har bir o'rnatilgan IKE assotsiatsiyasi bittadan qo'shadi, uning ostida qancha CHILD SA bo'lishidan qat'i nazar. Bitta IKEv2 ota-ona odatda bir nechta bolani olib yuradi, har bir trafik selektori juftligi uchun bittadan, va bolaning kelishilgan selektorlari birdan ortiq manzil yoki prefiksni qamrab olishi mumkin. Shuning uchun konfiguratsiyangizdagi manzillar sonining sarlavhadagi raqam bilan qat'iy aloqasi yo'q.

Zamonaviy chiqish ba'zan eski “up” iborasi o'rniga jami ko'rsatadi, va swanctl boshqaradigan daemon eski stroke sozlamalari bilan umuman boshqarilmaydi. Versiyalar orasida na iborani, na sanash qoidasini taxmin qilmang.

Biror narsani o'zgartirishdan oldin uchta ro'yxatni solishtiring

Yuklangandan boshlang, keyin kelishilganidan, keyin haqiqatan paketlarni harakatga keltiradiganidan. Bu uch xil savol va har birining o'z buyrug'i bor.

swanctl --list-conns
swanctl --list-sas

Birinchisi daemon qabul qilgan ulanish ta'riflarini sanab o'tadi. Ikkinchisi o'rnatilgan IKE assotsiatsiyalarini bolalari bilan sanab o'tadi, haqiqiy ierarxiya aynan o'sha yerda ko'rinadi. Faylda bor, lekin birinchi ro'yxatda yo'q ta'rif hech qachon yuklanmagan, va boshlovchining qancha qayta urinishi ham buni tuzatmaydi. Agar uning o'rniga eski interfeysni ishlatsangiz, ekvivalent juftlik ipsec statusall va o'sha swanctl ro'yxati, konfiguratsiya qaysi plaginga tegishli ekaniga qarab. Bitta xostdagi ikki daemon o'rtasida asboblarni aralashtirmang va bitta izchil javobni kutmang.

swanctl --list-sas --raw | head -40
ip -s xfrm state

Xom shakl identifikatorlar va selektorlarni taqqoslash uchun ko'rinadigan holda saqlaydi, yadro holati ro'yxati esa stek nima o'rnatgan deb hisoblashini ko'rsatadi. Daemon va yadro kelishmasa, yo daemon mavjud bolaning atrofida qayta ishga tushirilgan, yo yadro obyekti uning ostidan olib tashlangan.

Ierarxiyani o'qing, jamini emas

Ikki bolali namunali o'rnatilgan ota-ona ostida ikki bolasi bor bitta tugunga o'xshaydi, har biri o'z holati va rejimi bilan belgilangan. Kimningdir panelidan yopishtirgan xulosasini o'qish o'rniga haqiqiy chiqishni chiqarib, bolalarni o'zingiz sanang.

swanctl --list-sas
swanctl --list-conns --raw | grep -A4 'accounting'

Ikki o'rnatilgan bolali bitta ota-ona sog'lom ikki quyi tarmoqli tunneldir. Bitta o'rnatilgan va bitta yo'q bola bilan ota-ona boshqa holat, va yo'q bolaning selektorlari uzoq tomon taklifi bilan taqqoslanadigan narsadir. Kalit yangilash paytida eski bola va uning o'rnini bosuvchi qisqa vaqt birga ko'rinishi mumkin. Vaqt belgisini surat bilan birga saqlang, chunki yangilash o'rtasida olingan sanoq takrorlashga, undan keyin olingani yo'qotishga o'xshaydi.

Yuklangan, o'rnatilgan va o'tayotgan trafik

O'rnatilgan holatdagi bolada kelishilgan parametrlar va yadroda yozuv bor. Lekin u albatta paket tashimagan: selektorlar siz kutgan trafikdan torroq bo'lishi mumkin, va marshrut bu trafikni tunnel ko'rmasidan oldin boshqa joyga yuborishi mumkin. Vakolatli xostdan kelishilgan selektorlarga mos oqim yuboring, keyin sarlavha o'rniga bolaning hisoblagichlarini o'qing. Mos trafik yaratayotganingizda nolda qoladigan hisoblagich IKE emas, marshrutlash yoki siyosatga ishora qiladi.

swanctl --initiate --child accounting
swanctl --list-sas --raw | grep -E 'bytes|packets'

Nomlangan bolani ishga tushirish ko'rinadigan natijaga ega qasddan qilingan harakat, va u “hech kim so'ramagani uchun ulanish bo'sh” deganini “ulanish ko'tarila olmaydi” deganidan ajratadi. Talab bo'yicha tuzoq siyosati birinchi holat kabi harakat qiladi, shuning uchun uni nosozlik deb atashdan oldin ulanishning ishga tushish sozlamasini o'qing.

Sanoq haqiqatan noto'g'ri bo'lganda

Agar ta'rif yuklangan ro'yxatda bo'lmasa, konfiguratsiya yuklanishiga va qaysi daemon nusxasi ishlayotganiga qarang. Agar u yuklangan, lekin hech qachon kelishmasa, takliflar, autentifikatsiya konteksti va selektorlarni hamkor bilan taqqoslang, bir vaqtda bitta bola. Har bir urinishda bitta elementni o'zgartiring va o'zgartirgan identifikatoringizni yozib qo'ying. Qaysi ekanini bilsangiz, taklifni qaytarish oson; hech qachon ajratilmagan uchta tahrirdan keyin bu taxmin.

Avval noto'g'ri o'qishni tuzating. “Yo'qolgan” ikkinchi tunnel haqidagi hisobotlarning aksariyati bitta ota-ona ostida ikki o'rnatilgan bola bilan tugaydi, va qachonlardir buzilgan yagona narsa odamlar ierarxiya o'rniga ishongan xulosa satri edi.