внешний процесс-монитор и просто дёргать ipsec up, или же strongSwan имеет встроенную фичу для поднятия надёжного туннеля?
У меня есть несколько машин на линуксе, на каждой поднят туннель до IPSec-"сервера" (виртуалка с линуксом и strongSwan). Со временем туннель протухает и связь пропадает. dpdaction=restart, dpddelay=35s, closeaction=restart, keyingtries=%forever не помогают.
Что значит "туннель протухает"? В логах в этот момент что?
постоянно что то кидать в туннель. например ospf =) ну и auto=route. к сожалению на всех версиях свана auto=start даже в сочетании с DPD приводило к тому что туннели протухали. ну и dpdaction=clear
ну и да. можно в туннель ничего не бросать, а сочетание auto=route и dpdaction=clear пртведет к тому если туннель протухнет и снова появится "интересный" траффик, то туннель будет поднят заново.
просто на первых пакетах "интересного" трафика будет задержка на время пока IKE отработает
если трафик инициирется только в одну сторону, от клиентов к серверу, то на сервере auto=add, на клиентах auto=route, если пиры равноправны то везде auto=route
Ну это звучит как ужаснейший костыль. Я действительно получал неплохие результаты, когда в фоне держал включенным ping, проходящий через туннель, и да, это работало лучше, чем DPD. И я не понимаю, почему в 2022 году эта важная фича всё ещё не работает. У меня как раз ситуация, что только сервер инициирует соединения, так что auto=route на клиентах — не вариант.
тут все просто. фича не работает потому что вы не прислали патч. опенсорс
Обсуждают сегодня