Подключение, отключение и просмотр состояния IKEv2¶

1. Порядок действий¶

На обеих системах должны работать systemd-служба и VICI; профили загружаются перед инициированием. Используйте один выбранный профиль: gost для PSK или gost-x509 для сертификатов.

systemctl is-active strongswan.service
swanctl --load-conns
swanctl --load-creds
swanctl --list-conns
swanctl --list-sas

Для сертификатов отдельно проверьте swanctl --list-certs --type x509_crl и swanctl --list-authorities. Установка IKE SA при X.509 требует корректных времён, цепочки CA и статуса отзыва.

2. Инициируем выбранный CHILD SA¶

# ГОСТ PSK:
swanctl --initiate --child gost
# ИЛИ ГОСТ X.509:
swanctl --initiate --child gost-x509

В журнале ожидаются selected proposal: IKE:KUZNYECHIK_MGM_KTREE/..., успешная аутентификация, IKE_SA ... established, затем CHILD_SA ... established и предложение ESP:KUZNYECHIK_MGM_KTREE. Для X.509 отдельно требуется сообщение certificate status is good.

3. Что означают SA¶

swanctl --list-sas

ESTABLISHED — согласованная IKE SA, INSTALLED — действующая дочерняя SA. in/out показывают число ESP-пакетов и байтов. Статусы REKEYING и DELETED в течение перехода не обязательно ошибка: повторите список после завершения операции. Пары SPI на разных узлах зеркальны.

4. Проверка связности¶

ip route get 10.200.2.1     # пример для узла А
ping -c 10 10.200.2.1
ip -s link show ipsec0

Передача должна идти через ipsec0, а не через eth0; счётчики CHILD SA должны увеличиваться. Подробно: ESP и счётчики.

5. Управляемая остановка и восстановление¶

swanctl --terminate --ike gost-x509
swanctl --list-sas
# восстановление
swanctl --initiate --child gost-x509

Для PSK замените имя на gost. Команда terminate удаляет SA, но не останавливает службу; UDP 500/4500 продолжат слушаться. Чтобы управлять самим демоном: systemctl stop|start strongswan.service (нужен контроль сетевых последствий). Fail-closed должен блокировать передачу при остановленной SA.