IPIP over IPsec на 2.11 - два CHILD_SA

[KorDen]

"Клиент" Giga II на 2.11.D.5, заметил что создается второй CHILD_SA, на 2.15+ такого не видно. Похоже из-за скачка времени при синхронизации NTP во время загрузки. (NTP-сервер доступен уже после поднятия IPIP, на 2.15 есть аналогичная конфигурация)

В итоге оно так постоянно и пересогласует по два CHILD_SA, по второму трафика всегда нет.

Изменено 18 сентября, 2019 пользователем KorDen

[r13]

7 минут назад, KorDen сказал:

"Клиент" Giga II на 2.11.D.5, заметил что создается второй CHILD_SA, на 2.15+ такого не видно. Похоже из-за скачка времени при синхронизации NTP во время загрузки. (NTP-сервер доступен уже после поднятия IPIP, на 2.15 есть аналогичная конфигурация)

В итоге оно так постоянно и пересогласует по два CHILD_SA, по второму трафика всегда нет.

У меня на всех версиях так, и всегда так было. Думал так и надо 

1 ike и 2 sa на ipip туннель 

[KorDen]

5 минут назад, r13 сказал:

Думал так и надо 

Нет. Нормальное рабочее состояние - 1 IKE_SA (control channel) и 1 CHILD_SA (data channel). 2 CHILD_SA - это разве что при Make-before-break и то на короткий интервал.

На туннеле 2.15 - 2.15 между MT7628 1 CHILD_SA

Изменено 18 сентября, 2019 пользователем KorDen

[r13]

1 минуту назад, KorDen сказал:

Нет. Нормальное рабочее состояние - 1 IKE_SA (control channel) и 1 CHILD_SA (data channel). 2 CHILD_SA - это разве что при Make-before-break и то на короткий интервал.

На туннеле 2.15 - 2.15 между MT7628 1 CHILD_SA

У меня с make before их 4 😊

[r13]

Зы А вот с простым  туннелем там да, 1 sa

[Le ecureuil]

Фатального ничего не вижу - может быть много CHILD_SA.

[Le ecureuil]

IRL раньше (до 3.10+) ядро не умело правильно обрабатывать ситуацию с устареванием CHILD_SA при резком прыжке во времени (во времена прошивки 2.06).

Потому был сделан костыль с внешней проверкой.

Потом я перенес в 3.4 патчи, которые умеют обрабатывать прыжки (это было в 2.08), но костыль так и остался.

На 2.11 / 2.16 я менять ничего не буду скорее всего, есть оно не просит, но разлом совместимости где-то может быть.

А вот в актуальной версии пожалуй стоит удалить внешнюю проверку, но это произойдет когда буду затягивать новую версию strongswan.