Эксплуатация: контроль состояния, CRL и обновления RPM¶
Регулярный контроль¶
| Когда | Действие |
|---|---|
| При старте | systemctl is-active strongswan.service, VICI, UDP/500/4500, swanctl --list-sas |
| Ежедневно | SA/ESP-счётчики, ошибки journalctl, маршруты, firewall |
До nextUpdate |
Выпуск и распространение актуальной подписанной CRL |
| До истечения X.509 | Безопасная замена ключа и сертификата, контроль цепочки УЦ |
| После обновления RPM | Проверить загрузку niceos-gost, ГОСТ-предложения, rekey, fail-closed |
| После reboot | Проверить, что восстановились ipsec0, protected /32, маршруты и firewall |
systemctl is-active strongswan.service
pgrep -a charon
swanctl --list-conns
swanctl --list-sas
swanctl --list-certs --type x509_crl
swanctl --list-authorities
ip -s link show ipsec0
ip rule show
ip route show table 220
journalctl -u strongswan.service -b --no-pager -p warning | tail -n 50
Обновление CRL¶
На CA подпишите и проверьте CRL, сравните номер с предыдущим, issuer, сроки и списки отзыва, а затем публикуйте. Получающая сторона проверяет TLS, ГОСТ-подпись и актуальность, после чего выполняет swanctl --load-creds --clear (при локальной загрузке). Не откатывайте номер подписанной CRL. Автоматическая HTTPS-загрузка в charon происходит при потребности в проверке, а не обязательно по расписанию.
Обновление пакета¶
До установки новой сборки сохраните /etc/strongswan.conf, /etc/swanctl/, сведения о RPM и работающей SA. После обновления проверьте rpm -V, список плагинов, swanctl --list-algs, CRL и новые SA. Перезапуск systemd планируйте в окно: активный трафик может прерваться.
Компрометация сертификата¶
Отозвать serial в CA, перевыпустить CRL, обеспечить доставку, закончить подозрительные существующие SA и провести новую проверку. Изменение CRL само по себе не обязано разрывать ранее установленный IKE SA. Новый сертификат выпускается с новым закрытым ключом.
Пережить перезагрузку¶
ip addr add, ip route, ip rule и iptables -I в учебном примере временные. Для постоянной настройки используйте systemd-networkd НАЙС.ОС и утверждённый способ хранения iptables; после reboot подтвердите маршруты до запуска продуктивного трафика. Маршрутизация · Правила · Восстановление.