VPN, IPsec und IKE
Die wichtigsten Befehle zum Merken
swanctl --list-conns— im Daemon geladene Verbindungsdefinitionen prüfen.swanctl --list-sas— ausgehandelte Sicherheitsassoziationen prüfen.
Befehle und Optionen
| Befehl oder Option | Bedeutung |
|---|---|
sudo |
Mit Administratorrechten auf die lokale strongSwan-Steuerung zugreifen. |
--list-conns |
Geladene Konfiguration anzeigen, nicht zwingend aktive Tunnel. |
--list-sas |
Aktive IKE- und Child-Assoziationen samt Verkehrszählern anzeigen. |
Die Befehle starten, beenden oder erneuern keinen Tunnel.
Die entscheidenden Konzepte
1. Ein VPN trägt privaten Verkehr durch ein anderes Netzwerk
Ein VPN bietet eine logische Verbindung über ein darunterliegendes Netzwerk. Im IPsec-Tunnel steckt ein inneres Paket in einem äußeren geschützten Paket. Die äußeren Adressen erreichen die VPN-Peers; die inneren beschreiben Anwendungsendpunkte.
Das sind getrennte Routingfragen. Der öffentliche Pfad muss den Peer erreichen, private Routen müssen den gewünschten Verkehr in den Tunnel lenken. Beide Wege bleiben erforderlich.
2. IKE handelt aus und authentifiziert
IKE, Internet Key Exchange, authentifiziert Peers und handelt Schlüsselmaterial sowie Parameter aus. Moderne Installationen verwenden häufig IKEv2. Die entstehende IKE-Sicherheitsassoziation schützt das Kontrollgespräch.
Erfolgreiche Peer-Authentifizierung macht nicht jede private Adresse erreichbar. Identität, Traffic Selectors, Routing und Filter können weiterhin widersprüchlich sein. Die Peer-Identität muss auch nicht textlich ihrer aktuellen Netzwerkadresse entsprechen.
3. IPsec schützt ausgewählten Datenverkehr
Eine Child-Sicherheitsassoziation liefert Parameter für geschützten Datenverkehr, häufig mit ESP. IPsec-SAs gelten pro Richtung. Werkzeuge zeigen ein- und ausgehende Assoziationen oft gemeinsam als Child.
Traffic Selectors bestimmen den erfassten inneren Verkehr. Rekeying ersetzt Schlüssel vor Ablauf. Bei NAT kann ESP in UDP gekapselt werden, um übersetzende Geräte zu passieren. Die zusätzliche Kapselung verbraucht Paketplatz.
4. Etablierter Kontrollzustand beweist keinen Anwendungserfolg
Eine etablierte IKE-Assoziation kann ohne nutzbares installiertes Child bestehen. Ein installiertes Child kann ohne passenden Datenverkehr bestehen. Prüfe Richtungszähler zusammen mit Routen und gewünschten Selektoren.
Nur einseitig steigende Bytes können auf Rückweg- oder Peerprobleme hindeuten, identifizieren aber allein keine Ursache. Die Tunnelverschlüsselung schützt den VPN-Abschnitt, nicht zwingend alle Wege davor und danach. Anwendungen brauchen weiterhin Authentifizierung und Autorisierung.
Ein kleines Beispiel
Optional: Untersuche ein vorhandenes strongSwan-Lab-Gateway. Daemon und VICI-Steuersocket müssen bereits verfügbar sein.
sudo swanctl --list-conns
sudo swanctl --list-sasVergleiche geladene Definitionen mit aktiven Assoziationen. Keine aktiven SAs können schlicht einen nicht ausgehandelten Tunnel bedeuten. Ein Steuersocketfehler bedeutet, dass swanctl den lokalen Daemon nicht abfragen konnte, keine IKE-Ablehnung des entfernten Peers.
Unterscheide IKE ESTABLISHED von Child INSTALLED. Lies lokale und entfernte Selektoren, Algorithmen sowie Paket-/Bytezähler beider Richtungen. Lebensdauer und Rekey-Werte beschreiben Zeit, keinen Durchsatz. Kennungen und Zähler variieren.
Diese Zustände allein beweisen keinen privaten Anwendungszugriff. Die Bereitstellung bleibt unverändert; Aufräumen ist nicht erforderlich.
Merke dir: IKE schafft Vertrauen und Schlüssel, IPsec schützt ausgewählten Verkehr. Routen und Rückwege machen den Tunnel nutzbar.