背景
VyOSでIPsecを使っている場合、無通信時間が続くと勝手にIPsecが切れてしまい手動でresetしないと復旧しない。
IKEのdead-peer-detectionコマンドが効かない問題もあって、手動運用に頼らない方法でIPsecトンネルを回復させる方法を供養する
環境
どこぞのIaaSで動かしている環境
admin@hogetan:~$ sh version
Version: VyOS 1.2.5
Built by: Sentrium S.L.
Built on: Sun 12 Apr 2020 15:18 UTC
Build UUID: 1695c660-d785-4b16-a54b-66d6a02ea24f
Build Commit ID: 48cc9fc46569e6
Architecture: x86_64
Boot via: installed image
System type: KVM guest
多分task-schedulerコマンドが動くVyOSならおｋ
設定
shell scriptの展開
/config/scripts/vpnchecker.sh
#!/bin/bash
# VyOSコマンドで show vpn ipsec sa した結果からいい感じにpeer先を取り出して配列にするワンライナー
ip_list=`/bin/vbash -ic "sh vpn ipsec sa | egrep 'down' | awk '{print $1}' | cut -d'-' -f2"`
# 重複を排除する
ips=($(printf "%s\n" "${ip_list[@]}" | sort -u))
# 重複を排除した配列をforで回して、downなpeerだけ reset vpn ipsec-peer して復活させる
for ip in "${ips[@]}"
do
echo "$ip"
/bin/vbash -ic "reset vpn ipsec-peer $ip"
done
黒魔術メモ
show vpn ipsec sa のサンプルは以下の通り。downしている部分はRemote addressがN/Aになるので、peer先アドレスは1ブロック目のpeer名から取ってくるのが吉
admin@hogetan:~$ sh vpn ipsec sa
Connection State Up Bytes In/Out Remote address Remote ID Proposal
--------------------------- ------- ----------- -------------- ---------------- ----------- ---------------------------------------------------------
peer-192.0.2.1-tunnel-2 up 109 minutes N/A 192.0.2.1 N/A 3DES_CBC/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
peer-198.51.100.1-tunnel-1 up 3 minutes N/A 198.51.100.1 N/A AES_CBC_256/HMAC_SHA2_512_256/PRF_HMAC_SHA2_512/MODP_2048
peer-198.51.100.1-tunnel-2 down N/A N/A N/A N/A N/A
peer-192.0.2.1-tunnel-1 up 109 minutes 5K/9K 192.0.2.1 N/A 3DES_CBC/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
peer-192.0.2.1-tunnel-5 up 109 minutes 5K/8K 192.0.2.1 N/A 3DES_CBC/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
peer-192.0.2.1-tunnel-4 up 109 minutes 2K/4K 192.0.2.1 N/A 3DES_CBC/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
peer-192.0.2.1-tunnel-3 up 109 minutes 78K/128K 192.0.2.1 N/A 3DES_CBC/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
peer-192.0.2.1-tunnel-6 up 109 minutes 6K/11K 192.0.2.1 N/A 3DES_CBC/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
downだけgrepすると
admin@hogetan:~$ sh vpn ipsec sa | egrep 'down'
peer-198.51.100.1-tunnel-2 down N/A N/A N/A N/A N/A
peerのアドレスがほしいのでawkで1ブロック目を取り出す
admin@hogetan:~$ sh vpn ipsec sa | egrep 'down' | awk '{print $1}'
peer-198.51.100.1-tunnel-2
余計な文字列が邪魔なので - 区切りで2ブロック目のアドレスを取り出す
admin@hogetan:~$ sh vpn ipsec sa | egrep 'down' | awk '{print $1}' | cut -d'-' -f2
198.51.100.1
これでdownしているIPsecのPeerアドレスが取れる
task schedulerの設定
5分毎にvpnchecker.shを動作させるようにする
admin@hogetan:~$ configure
admin@hogetan# set system task-scheduler task vpncheck executable path '/config/scripts/vpnchecker.sh'
admin@hogetan# set system task-scheduler task vpncheck interval '5m'
終わり
めでたく自動化完了