Как мониторить IPSec и улучшить соединение?

Question

[Vi]

У меня стоит соединение с удаленным партнером по IPsec , у него cisco ASA, и я не особо в курсе какие он там прописал TIME значения типа keepalive (и информацию не выдают)

Так вот хотел бы знать вооще какие средства для мониторинга IPsec(strongswan) на Linux существую?

А так же вопрос
established 18938s ago, reauth in 66511s
installed 13182s ago, rekeying in 72176s, expires in 73219s

Как сделать так чтобы эти значения всегда только росли и не обнулялись ( скриншот ниже)

Answer 1

[CityCat4]

Включить лог в strongswan - при прохождении первой фазы тами будут тайминги обмена, и на второй фазе будут свои тайминги. Но в зависимости от того, кто у Вас к кому цепляется и как согласовывается соединение, тайминги могут выбираться минимальные из двух согласуемых вариантов. То есть увеличить их нельзя, можно только уменьшить. Вообще они у Вас и без того достаточно большие.

Comments

[Vi]

Да а как определить кто кому цепляется ?
Мне не нравится что значения обнуляются, это так и должно быть?

[CityCat4]

Vi, IPSec - не самая простая вещь, настоятельно рекомендую пойти на сайт циски и почитать обучающие материалы, в двух словах тут не обьяснить.
Таймеры и должны обнуляться - происходит периодическая смена ключа соединения, чтобы не было смысла его ломать. Ключ второй фазы меняется чаще - там процедура согласования упрощенная. Ключ первой фазы меняется реже - и процедура согласования идет полностью.
Определить кто к кому цепляется - по логу. Инициатор отправляет пакет первым