web-dev-qa-db-ja.com

サーバーがダウンしたときにstrongSwanクライアントを自動再接続するにはどうすればよいですか？

サーバーがダウンしている場合は、クライアントに無制限に再接続してもらいたいので、サーバーが戻ってきたときに、クライアントは単に再接続します。

クライアントipsec.conf

conn %default
    ike=aes256gcm16-sha384-modp3072!
    esp=aes256gcm16-sha384-modp3072!

conn ikev2
    auto=start
    [email protected]
    leftsourceip=%config
    leftauth=eap-tls
    leftcert=vpn-client.crt
    right=my-vpn.com
    rightid=my-vpn.com
    rightsubnet=0.0.0.0/0
    rightauth=pubkey
strongswan
2
sunknudsen

通常はトラップポリシーを使用するため、カーネルにインストールされているIPsecポリシーに一致するトラフィックは、IKEおよびIPsec SAのネゴシエーションを自動的にトリガーします。また、一致するトラフィックがホストを暗号化せずに残さないようにします。ただし、これを仮想IP（leftsourceip）で機能させるには、strongSwanの比較的新しいバージョン（正確には5.6.3以降）が必要です。

したがって、新しいリリース、または仮想IPを使用しないシナリオでは、auto=route。また、下記の設定は一切行わないでください（またはclearに設定すると、keyingtriesが1に設定される場合があります）。

古いリリースで仮想IPを使用する場合、dpdaction=restart、closeaction=restartおよびkeyingtries=%forever （一緒に auto=start）ピアによって終了した場合、またはネットワークの問題が原因でSAが再作成された場合（ファイアウォールを介してそれを防止しない限り、暗号化されていないトラフィックがホストを離れる可能性があります）。上記のように、追加のIPsec SAが発生する可能性があるため、トラップポリシーを使用する場合はこれらの設定を使用しないでください（SAが同時に再作成されているときにトラフィックがこれらのポリシーにヒットすることによってトリガーされます）。また、現在影響を受けるIKE SAの再作成をトリガーしないいくつかの致命的なエラー（認証の失敗など）があることに注意してください。そのため、SAが存在するか、または確立されているかどうかを時々チェックするスクリプトが必要になる場合があります（ エラー通知プラグイン トリガーもオプションになる可能性があるため）。

4
ecdsa