Jump to content
  • 0

IPIP over IPsec на 2.11 - два CHILD_SA


KorDen
 Share

Question

"Клиент" Giga II на 2.11.D.5, заметил что создается второй CHILD_SA, на 2.15+ такого не видно. Похоже из-за скачка времени при синхронизации NTP во время загрузки. (NTP-сервер доступен уже после поднятия IPIP, на 2.15 есть аналогичная конфигурация)

В итоге оно так постоянно и пересогласует по два CHILD_SA, по второму трафика всегда нет.

Edited by KorDen
Link to comment
Share on other sites

6 answers to this question

Recommended Posts

  • 0
7 минут назад, KorDen сказал:

"Клиент" Giga II на 2.11.D.5, заметил что создается второй CHILD_SA, на 2.15+ такого не видно. Похоже из-за скачка времени при синхронизации NTP во время загрузки. (NTP-сервер доступен уже после поднятия IPIP, на 2.15 есть аналогичная конфигурация)

В итоге оно так постоянно и пересогласует по два CHILD_SA, по второму трафика всегда нет.

У меня на всех версиях так, и всегда так было. Думал так и надо 

1 ike и 2 sa на ipip туннель 

Link to comment
Share on other sites

  • 0
5 минут назад, r13 сказал:

Думал так и надо 

Нет. Нормальное рабочее состояние - 1 IKE_SA (control channel) и 1 CHILD_SA (data channel). 2 CHILD_SA - это разве что при Make-before-break и то на короткий интервал.

На туннеле 2.15 - 2.15 между MT7628 1 CHILD_SA

Edited by KorDen
Link to comment
Share on other sites

  • 0
1 минуту назад, KorDen сказал:

Нет. Нормальное рабочее состояние - 1 IKE_SA (control channel) и 1 CHILD_SA (data channel). 2 CHILD_SA - это разве что при Make-before-break и то на короткий интервал.

На туннеле 2.15 - 2.15 между MT7628 1 CHILD_SA

У меня с make before их 4 😊

Link to comment
Share on other sites

  • 0

IRL раньше (до 3.10+) ядро не умело правильно обрабатывать ситуацию с устареванием CHILD_SA при резком прыжке во времени (во времена прошивки 2.06).

Потому был сделан костыль с внешней проверкой.

Потом я перенес в 3.4 патчи, которые умеют обрабатывать прыжки (это было в 2.08), но костыль так и остался.

На 2.11 / 2.16 я менять ничего не буду скорее всего, есть оно не просит, но разлом совместимости где-то может быть.

А вот в актуальной версии пожалуй стоит удалить внешнюю проверку, но это произойдет когда буду затягивать новую версию strongswan.

Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Guest
Answer this question...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

 Share

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...