sa_mgr show

Синтаксис

sa_mgr [-T timeout] show [-isakmp | -ikev2 | -ipsec] [-i CONN1_ID] [-i CONNn_ID] [-detail]

-T timeout

время ожидания ответа от vpnsvc сервиса.

Допустимые значения - 10..36000 секунд, 0 - бесконечное время ожидания.

Значение по умолчанию - 60 секунд.

-isakmp

выводится информация об ISAKMP соединениях, построенный по протоколу IKE.

-ikev2

выводится информация об IKEv2 соедиениях, сформированных в ходе IKE_SA_INIT по протоколу IKEv2.

-ipsec

выводится информация об IPsec соединениях.

-i CONNn_ID

выводится информация о соединении с указанным идентификатором.

-detail

выводится детальная информация о соединениях.

Команда sa_mgr show позволяет просмотреть действующие в данный момент IPsec SA.

Значение по

умолчанию

отсутствует

Рекомендации по

использованию

В команде sa_mgr show без указания опции -detail выводится краткая информация обо всех соединениях, например:

root@sterragate:~# sa_mgr show

ISAKMP sessions: 0 initiated, 0 responded

ISAKMP connections:

Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd

1 2 (2002:db8:a:1::2,500)-(2002:db8:a:1::1,500) active 2292 2220

IKEv2 connections:

Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd

1 1 (172.16.1.2,500)-(172.16.1.1,500) active 1409 1402

IPsec connections:

Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd

1 3 (2002:db8:c::-2002:db8:c:ffff:ffff:ffff:ffff:ffff,*)-(2002:db8:b::-2002:db8:b:ffff:ffff:ffff:ffff:ffff,*) * ESP tunn 224 224

2 5 (192.168.2.0-192.168.2.255,*)-(192.168.1.0-192.168.1.255,*) * ESP 0 88 88

В выводе присутствует следующая информация:

ISAKMP sessions - количество незавершенных IKE-обменов:

• ni initiated - в качестве инициатора;

• nr responded - в качестве ответчика.

IKEv2 sessions - количество незавершенных IKEv2-обменов. Выводит аналогичные параметры ISAKMP sessions.

ISAKMP connections - информация обо всех ISAKMP SA и для каждого соединения:

• Num - порядковый номер ISAKMP соединения

• Conn-id - уникальный идентификатор ISAKMP соединения

• Remote Addr,Port - адрес и порт партнера, если порт любой - *

• Local Addr,Port - локальный адрес и порт, если порт любой - *

• State - состояние SA:

• incomplete - недостроенное соединение;

• active - активное соединение;

• configuration - для данного SA проводится дополнительная настройка (IKECFG, XAuth, etc);

• disabled - SA не используется, подготовлено к удалению;

• unknown - статус соединения неизвестен;

• Sent - количество переданной информации (в байтах);

• Rcvd - количество принятой информации (в байтах).

IKEv2 connections - информация обо всех IKEv2 SA и для каждого соединения. Выводит аналогичные параметры ISAKMP connections.

IPsec connections - информация обо всех IPsec SA и для каждого соединения:

• Num - порядковый номер IPsec соединения;

• Conn-id - уникальный идентификатор IPsec соединения;

• Remote Addr,Port - адрес и порт партнера, если порт любой - *;

• Local Addr,Port - локальный адрес и порт, если порт любой - *;

• Protocol - сетевой протокол, если протокол любой - *;

• Action - действие - {AH+ESP|AH|ESP}.

• Type - тип:

• tunn - туннельный режим;

• trans - транспортный режим;

• nat-t-tunn - туннельный режим через NAT (по RFC 3947);

• nat-t-trans - транспортный режим через NAT (по RFC 3947);

• nat-t3-tunn - туннельный режим через NAT (по спецификации draft-ietf-ipsec-nat-t-ike-03.txt);

• Sent - количество переданной информации (в байтах);

• Rcvd - количество принятой информации (в байтах).

Команда sa_mgr show -ipsec -i 8 выводит информацию о соединении с заданными свойствами.

IPsec connections:

Num Conn-id (Remote Addr,Port)-(Local Addr,Port) Protocol Action Type Sent Rcvd

1 8 (192.168.15.18,*)-(10.0.10.99,*) * ESP tunn 1600 3140

Команда sa_mgr show -detail с опцией detail выводит полную информацию обо всех соединениях.

ISAKMP sessions: 0 initiated, 0 responded

ISAKMP connection id: 2

cookies: 613E427395946DFE.DE99B25554306A75

local peer (addr/port): 10.0.10.99/500

remote peer (addr/port): 10.0.10.16/500

local identity (IPV4_ADDR): 10.0.10.99

remote identity (IPV4_ADDR): 10.0.10.16

IKERule name: ike_rule_without_ikecfg

auth: preshared key

xauth user name: Client1

mode: main

sa:

transform: gost2814789cp-cbc gostr341194cp

Oakley group: 5

sa limits: key lifetime (qm/k/sec): -/200/28800

sa timing: remaining key lifetime (qm/k/sec): -/198/26622

status: active

IPsec connection id: 6

local ident (addr/prot/port): 10.0.10.99/0/0

remote ident (addr/prot/port): 192.168.15.16/0/0

#pkts sent/rcvd: 32/6777

#send/recv errors: 2/0

local crypto endpt.: 10.0.10.99, remote crypto endpt.: 10.0.10.16

connection status: {initiated locally, }

remote identity (IPV4_ADDR): 10.0.10.16

xauth user name: Client1

IPsecAction name: ipsec_action_01

Filter LogEventID: filter_rule_00_00

PFS: none

inbound esp sa:

spi: 0x94857A70(2491775600)

transform: esp-gost2814789cp-cbc esp-gostr341194cp-hmac

in use settings ={Tunnel, }

sa limits: key lifetime (k/sec): 4608000/3600

sa timing: remaining key lifetime (k/sec): 4607998/1426

inbound ah sa:

spi: 0x6CD88232(1826128434)

transform: ah-gostr341194cp-hmac

in use settings ={Tunnel, }

sa limiting: key lifetime (k/sec): 4608000/3600

sa timing: remaining key lifetime (k/sec): 4607999/1426

outbound esp sa:

spi: 0xF40CDEE0(4094484192)

transform: esp-gost2814789cp-cbc esp-gostr341194cp-hmac

in use settings ={Tunnel, }

sa limits: key lifetime (k/sec): 4608000/3600

sa timing: remaining key lifetime (k/sec): 4607999/1426

outbound ah sa:

spi: 0xFBE599CD(4226128333)

transform: ah-gostr341194cp-hmac

in use settings ={Tunnel, }

sa limiting: key lifetime (k/sec): 4608000/3600

sa timing: remaining key lifetime (k/sec): 4607998/1426

В выводе присутствует следующая информация:

ISAKMP sessions - количество незавершенных IKE-обменов:

• ni initiated - в качестве инициатора;

• nr responded - в качестве ответчика.

ISAKMP connection - в выводе будет присутствовать:

• поле IKECFG address, если был получен IKECFG адрес:

ISAKMP connection id: 1

cookies: F86F80B571D2240F.C177F15CAEA71B4A

local peer (addr/port): 10.0.10.193/500

remote peer (addr/port): 10.0.10.178/500

IKECFG address: 192.168.15.193

• поле Status может принимать следующие значения:

• incomplete - недостроенное соединение;

• active - активное соединение;

• configuration - для данного SA проводится дополнительная настройка (IKECFG, XAuth, etc.);

• disabled - SA не используется, подготовлен к удалению;

• unknown - статус соединения неизвестен.

IPsec connection:

• поле connection status может принимать значения:

• initiated locally - локальный хост выступает инициатором;

• initiated remotely - локальный хост выступает ответчиком;

• rekeyed - произведено досрочное пересоздание соединения;

• no rekeying - досрочное пересоздание соединения в качестве инициатора запрещено.

• поле in use settings может принимать значения:

• Tunnel - туннельный режим;

• Transport - транспортный режим;

• Tunnel NAT-T - туннельный режим через NAT;

• Transport-NAT-T - транспортный режим через NAT.