Вопрос или проблема
Мы настроили VPN-соединение от сервера Zabix к серверу с именем deluxe с соединением под названием “Zabbix-to-Deluxe”
Пожалуйста, найдите конфигурацию ниже
conn Zabbix-to-vyatta
type=tunnel
keyexchange=ikev2
authby=secret
left=x.x.x.x
leftsubnet=x.x.x.x/26
right=x.x.x.x
rightsubnet=x.x.x.x/26
ike=aes256-sha2_384-modp1536!
esp=aes256-sha2_384!
aggressive=no
keyingtries=%forever
ikelifetime=28800s
dpddelay=30s
dpdtimeout=14400s
dpdaction=clear
auto=start
reauth = no
rekey = yes
lifetime = 24h
inactivity = 23h
dpdaction = restart
conn Zabbix-to-Deluxe
also=Zabbix-to-vyatta
rightsubnet=x.x.x.x/26,x.x.x.x/28
auto=start
ПРИМЕЧАНИЕ:
IP-адреса обозначены x.x.x.x по соображениям безопасности
Пожалуйста, найдите логи, чтобы понять, что могло пойти не так.
Пожалуйста, помогите, так как мы получаем предупреждения сразу же, как только CHILD_SA остановлен. Поэтому мы временно перезапускаем службу strongswan каждый раз, и проблема исчезает на некоторое время, и снова генерируются предупреждения Zabbix, как только CHILD_SA выходит из строя.
Пожалуйста, помогите нам понять и решить эту проблему
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 05[ENC] генерирование ИНФОРМАЦИОННОГО ответа 40 [ D ]
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 05[NET] отправка пакета: от x.x.x.x[500] к x.x.x.x[500] (88 байт)
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 06[NET] получен пакет: от x.x.x.x[500] к x.x.x.x[500] (232 байта)
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 06[ENC] разобран запрос CREATE_CHILD_SA 41 [ N(REKEY_SA) N(ESP_TFC_PAD_N) SA No TSi TSr ]
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 06[IKE] получен ESP_TFC_PADDING_NOT_SUPPORTED, не используется ESPv3 TFC padding
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 06[CFG] выбрано предложение: ESP:AES_CBC_256/HMAC_SHA2_384_192/NO_EXT_SEQ
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 06[IKE] входной CHILD_SA Zabbix-to-Deluxe{34} установлен с SPIs cf1fd705_i cf9cda04_o и TS x.x.x.x/26 === x.x.x.x/28
9 Окт 03:13:13 mdm-delux-mgmt01 charon: 10[IKE] получен ESP_TFC_PADDING_NOT_SUPPORTED, не используется ESPv3 TFC padding
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 06[ENC] генерирование ответа CREATE_CHILD_SA 41 [ SA No TSi TSr ]
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 06[NET] отправка пакета: от x.x.x.x[500] к x.x.x.x[500] (216 байт)
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 07[NET] получен пакет: от x.x.x.x[500] к x.x.x.x[500] (88 байт)
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 07[ENC] разобран ИНФОРМАЦИОННЫЙ запрос 42 [ D ]
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 07[IKE] получено УДАЛЕНИЕ для ESP CHILD_SA со SPI c10100ee
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 07[IKE] закрытие CHILD_SA Zabbix-to-Deluxe{28} со SPIs cb6d6584_i (0 байт) c10100ee_o (0 байт) и TS x.x.x.x/26 === 169.48.131.32/28
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 07[IKE] отправка УДАЛЕНИЯ для ESP CHILD_SA со SPI cb6d6584
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 07[IKE] **CHILD_SA закрыт**
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 07[IKE] исходящий CHILD_SA Zabbix-to-Deluxe{34} установлен с SPIs cf1fd705_i cf9cda04_o и TS x.x.x.x/26 === x.x.x.x/28
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 07[ENC] генерирование ИНФОРМАЦИОННОГО ответа 42 [ D ]
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 07[NET] отправка пакета: от x.x.x.x[500] к x.x.x.x[500] (88 байт)
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 08[NET] получен пакет: от x.x.x.x[500] к x.x.x.x[500] (232 байта)
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 08[ENC] разобран запрос CREATE_CHILD_SA 43 [ N(REKEY_SA) N(ESP_TFC_PAD_N) SA No TSi TSr ]
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 08[IKE] получен ESP_TFC_PADDING_NOT_SUPPORTED, не используется ESPv3 TFC padding
9 Окт 03:13:13 mdm-delux-mgmt01 strongswan: 08[CFG] выбрано предложение: ESP:AES_CBC_256/HMAC_SHA2_384_192/NO_EXT
Ответ или решение
Решение проблемы с CHILD_SA в StrongSwan и Zabbix Alerts
Доброго времени суток!
Судя по вашему описанию и предоставленным логам, проблема заключается в потере CHILD_SA, что вызывает постоянные уведомления в Zabbix. Рассмотрим вашу конфигурацию VPN и потенциальные причины, которые могут приводить к этому поведению.
Анализ конфигурации
Вы используете подключение Zabbix-to-Deluxe, которое ссылается на Zabbix-to-vyatta. Рассмотрим ключевые параметры:
-
Провайдеры шифрования: Вы устанавливаете ESP с
aes256-sha2_384!, что является надежным выбором. Однако стоит обратить внимание на совместимость параметров с другой стороной (сервером). -
Таймауты и перегенерация: Во-первых,
lifetimeвыставлено на 24 часа, аinactivity— на 23 часа. Это приводит к тому, что за час до истечения будет отключение канала, если в это время нет трафика. Возможно, стоит увеличить значения таймаутов. -
Динамическая обработка DPD: При установленном
dpdaction=clearпроисходит отключение канала в случае неактивности. Убедитесь, что кардинально не влияет на стабильность соединения.
Возможные решения
-
Увеличение интервалов тайм-аутов:
Попробуйте увеличить значенияlifetimeиinactivity. Например, установитьlifetimeна 48 часов иinactivityна 46 часов. Это позволит избежать преждевременного отключения канала:lifetime = 48h inactivity = 46h -
Пересмотрите DPD настройки:
Используйтеdpdaction=restart, чтобы перезапустить соединение при его потере вместо его полного отключения. Это поможет автоматически восстановить соединение без необходимости вручную перезапускать службу StrongSwan:dpdaction = restart -
Анализ совместимости шифрования:
Убедитесь, что параметрыikeиespсовместимы с удаленной стороной. Возможно, одна из сторон отклоняет запросы на перегенерацию, если параметры не совпадают. -
Логи и диагностика:
Уровень ведения логов можно повысить, добавив в файл конфигурации в секциюcharon:syslog = 2Это поможет вам получить более детальную информацию о процессе и возможных ошибках.
-
Обновление StrongSwan:
Если у вас устаревшая версия StrongSwan, рассмотрите возможность обновления до последней стабильной версии, так как проблема может быть связана с известными багами, которые были исправлены в более новых релизах.
Заключение
После внесения предложенных изменений рекомендуется внимательно отслеживать логи на предмет возникновения новых ошибок. Настройка VPN может иногда зависеть от сети или конфигурации других узлов. Установите дополнительные проверки, чтобы убедиться, что туннель поддерживается в активном состоянии, и настройте соответствующие оповещения в Zabbix.
Если проблема не решится после всех вышеперечисленных шагов, обратитесь к документации StrongSwan и рассматривайте возможность проведения диагностики с участием сетевых специалистов для выявления потенциальных сетевых проблем.
Удачи в решении проблемы!