隧道問題 IKEv2 上的 strongswan 配置和流量

Question

我是這個范圍內的新手。 我嘗試在谷歌雲平台上使用centos7（不同地區）配置strongswan站點到站點。 我已經按照本指南完成了：

1. https://blog.ruanbekker.com/blog/2018/02/11/setup-a-site-to-site-ipsec-vpn-with-strongswan-and-preshared-key-authentication/
2. https://www.tecmint.com/setup-ipsec-vpn-with-strongswan-on-centos-rhel-8/
3. https://medium.com/@georgeswizzalonge/how-to-setup-a-site-to-site-vpn-connection-with-strongswan-32d4ed034ae2

這個ipsec.conf來自站點 A：

config setup
     charondebug="all"
     strictcrlpolicy=no
     uniqueids = yes

conn sg-to-jkt
    authby=secret
    left=%defaultroute
    leftid=34.xx.xx.xxx
    leftsubnet=10.xxx.x.xx/24
    right=34.xxx.xxx.xxx
    rightsubnet=10.xxx.x.x/24
    ike=aes256-sha2_256-modp1024!
    esp=aes256-sha2_256!
    keyingtries=0
    ikelifetime=1h
    lifetime=8h
    dpddelay=30
    dpdtimeout=120
    dpdaction=restart
    auto=start

ipsec.secrets文件站點 A:

site-A site-B : PSK "someencryptedkey"

這個ipsec.conf站點B：

config setup
         charondebug="all"
         strictcrlpolicy=no
         uniqueids = yes

conn jkt-to-sg
        authby=secret
        left=%defaultroute
        leftid=34.xxx.xxx.xxx
        leftsubnet=10.xxx.x.x/24
        right=34.xx.xx.xxx
        rightsubnet=10.xxx.x.xx/24
        ike=aes256-sha2_256-modp1024!
        esp=aes256-sha2_256!
        keyingtries=0
        ikelifetime=1h
        lifetime=8h
        dpddelay=30
        dpdtimeout=120
        dpdaction=restart
        auto=start

ipsec.secret文件站點 B:

site-B site-A : PSK "someencryptedkey"

我的問題是：

1. 為什么每次我重新啟動strongswan（strongswan重新啟動）時，strongswan服務（systemctl status strongswan）都會死/不活動？ （注：strongswan隧道還在上）

    ● strongswan.service - strongSwan IPsec IKEv1/IKEv2 daemon using ipsec.conf Loaded: loaded (/usr/lib/systemd/system/strongswan.service; enabled; vendor preset: disabled) Active: inactive (dead) since Sun 2020-10-11 16:37:06 UTC; 32min ago

2. ESP 協議中沒有流量， tcpdump esp不顯示任何內容，但 strongswan 隧道已啟動。 我意識到狀態給出的結果與示例不同。 結果ESP in UDP SPIs返回ESP in UDP SPIs而不是ESP SPIs 。 有什么不同或其他什么嗎？

謝謝你的幫助和建議

Answer 1

您可以檢查您的 Systemd 服務文件strongswan.service並更改Type=選項。

默認情況下，您應該有Type=simple並且它適用於許多 Systemd 服務文件，但是當ExecStart的腳本啟動另一個進程並完成時它不起作用，請考慮更改以在 [Service] 部分明確指定 Type=forking 以便Systemd 知道查看生成的進程而不是初始進程。

來自 man systemd.service：

如果設置為分叉，則預期使用 ExecStart= 配置的進程將調用 fork() 作為其啟動的一部分。 當啟動完成並且所有的通信通道都設置好后，父進程應該會退出。 子進程繼續作為主守護進程運行。 這是傳統 UNIX 守護進程的行為。 如果使用此設置，建議同時使用 PIDFile= 選項，以便 systemd 可以識別守護進程的主進程。 一旦父進程退出，systemd 將繼續啟動后續單元。

此外，我在 StrackOverflow 中發現了另一個具有類似問題的線程。

但請參閱man systemd.service以獲取適當的類型。

對於您的第二個問題，您可能會檢查您的防火牆，我在此鏈接中發現了另一個類似的案例