Диагностика ГОСТ IKEv2: ошибки и решение

Минимальный набор

rpm -q strongswan openssl openssl-gost-engine
systemctl status strongswan.service --no-pager
pgrep -a charon
ss -lunp | grep -E ':(500|4500)[[:space:]]'
ss -xlpn | grep charon.vici
swanctl --list-conns
swanctl --list-algs | grep -Ei 'GOST|KUZNYECHIK|STREEBOG'
swanctl --list-sas
swanctl --list-certs --type x509_crl
ip -s link show ipsec0
ip rule show
ip route show table 220
journalctl -u strongswan.service -b --no-pager | tail -n 120

Признак	Возможная причина и проверка
Нет charon.vici	Не работает служба, не загружен vici, иной socket или второй charon
NO_PROPOSAL_CHOSEN	Несовпадение ГОСТ предложений, не загружен niceos-gost
PSK AUTH_FAILED	Секреты отличаются, IKE IDs неверны или дублируется профиль
X.509 AUTH_FAILED	SAN/ID, пара сертификат-ключ, доверие CA, CRL, часы
RULE_CRL_VALIDATION is SKIPPED	Нет доступной CRL и статуса при strict
RULE_CRL_VALIDATION is FAILED	Запрос/разбор CRL неуспешен
certificate was revoked	Serial внесён в действительную CRL
libcurl request failed [7]	Не удалось подключиться к HTTPS CRL хосту/порту
TLS CERTIFICATE_VERIFY_FAILED	Не тот CA в рабочем bundle, SAN или цепочка TLS
IKE ESTABLISHED, ping не проходит	Ошибка ipsec0, маршрута, firewall, локального src/TS
ipsec0 отсутствует	kernel-libipsec, TUN или демон не стартовали
Временный REKEYING	Переход SA; повторить --list-sas и проверить новый SPI
ping: invalid option -- I	Этот ping не поддерживает -I; используйте ip route get и обычный ping

Важное отличие: сообщение authentication ... with GOST512 successful ещё не означает PASS при CRL. В журнале вслед за успешной подписью может быть constraint check failed, и финальное IKE_AUTH будет отвергнуто.

OPENSSL_CONF=/etc/pki/niceos-gost/engine.cnf openssl engine -t gost
OPENSSL_CONF=/etc/pki/niceos-gost/engine.cnf openssl x509 \
  -inform DER -in /etc/swanctl/x509/niceos-ike-node.der \
  -noout -subject -issuer -serial -dates -ext subjectAltName

Если видите unsupported IP version на TUN — проверьте, какой трафик попадает в ipsec0, а не делайте вывод о сбое ГОСТ. На раннем стенде был замечен AoE discovery; не выключайте AoE на действующем сервере хранения данных без проверки его использования.

В обращение в поддержку включайте версии RPM, обезличенную конфигурацию, временной интервал журналов и маршруты. Нельзя присылать PSK, закрытые ключи CA/узлов или полный secrets.