Strongswan loglevel

Allgemein

• strongswan-logs sind sehr variabel. Es lässt sich sehr genau festlegen, was strongswan wohin schreiben soll
• strongswan schreibt alle logs standardmäßig in /var/log/syslog

Loglevel festlegen

über Konsole

• ipsec stroke loglevel <Quelle> <Loglevel>
  • Für "<Loglevel>" können die Werte -1, 0, 1, 2, 3 und 4 verwendet werden
  • Für "<Quelle>" können die Werte app, asn, cfg, chd, dmn, enc, esp, ike, imc, imv, job, knl, lib, mgr, net, pts, tls und tnc oder alternativ auch "any" für alle gleichzeitig verwendet werden

Beispiele

enc bzw. ike loglevel 2

• ipsec stroke loglevel enc 2
• ipsec stroke loglevel ike 2

Log abschalten

• ipsec stroke loglevel any -- -1

in /etc/ipsec.conf

• Um den Log-Level festzulegen muss in die "setup"-Sektion der ipsec.conf lediglich ein Parameter "charondebug" in der folgenden Weiße hinzugefügt werden

config setup
            charondebug="cfg 2, chd 2, esp 2, ike 2, knl 2, lib 2, net 2, tls 2"

ACHTUNG!!!

• Wegen eines Bugs im Parameter "app", den man deshalb hier nicht verwenden sollte, lässt sich hier die Option "any" ebenfalls nicht verwenden, daher müssen bei dieser Variante alle ins log zu schreibenden Quellen einzeln angegeben werden

in /etc/strongswan.conf

charon {
	load_modular = yes
        filelog {
        /var/log/charon.log {
            time_format = %b %e %T
            ike_name = yes
            append = yes
            ike = 2
            enc = 2
            default = 0
            flush_line = yes
       }
        stderr {
            ike = 2
            knl = 3
        }
	}
      plugins {
		include strongswan.d/charon/*.conf
	}
}
include strongswan.d/*.conf

restart

• ipsec restart

sollte er nicht loggen

• Apparmor für charon abschalten
• | Apparmor

Strongswan Check

• Strongswan Check

Beispiele für Log-Level

• ipsec stroke loglevel ike 0
• ipsec stroke loglevel ike 1
• ipsec stroke loglevel ike 2

Links

• https://wiki.strongswan.org/projects/strongswan/wiki/LoggerConfiguration