StrongSwan配置重载时IKE_SA连接中断问题分析与解决方案

问题背景

在StrongSwan最新主分支版本（2024年8月22日）中发现了一个关键性问题：当设备作为连接发起方（start_action = start）时，如果在连接尚未建立完成的状态下重新加载配置（通过swanctl --load-conns命令），会导致正在尝试建立的IKE_SA被意外关闭。这个问题在5.9.14版本中不存在，但在合并了vici-reload-actions补丁（commit 72f9a21b）后出现。

技术细节分析

该问题主要发生在以下场景：

1. 配置了自动启动的连接（start_action = start）
2. 连接正处于建立过程中（CONNECTING状态）
3. 此时执行配置重载操作

在正常情况下，StrongSwan应该保持连接尝试直至成功或达到最大重试次数。但在新版本中，重载配置会触发对现有IKE_SA的清理逻辑，错误地将处于连接中的会话判断为"空会话"而进行销毁。

问题根源

深入分析表明，问题的核心在于会话管理逻辑的缺陷：

1. 新版代码在判断IKE_SA是否为空时，仅检查已建立的CHILD_SA
2. 对于正在连接中的会话，虽然存在子SA创建任务，但这些任务未被纳入判断条件
3. 导致系统错误地将正在建立的会话视为可清理对象

解决方案

StrongSwan开发团队提出了修复方案，主要改进点包括：

1. 扩展"空会话"判断条件，将子SA创建任务纳入考虑
2. 区分处理不同类型的任务：
   • 对于已修改连接的待处理任务，需要移除
   • 对于活动中的任务（如新IKE_SA的第一个CHILD_SA），需要立即删除已创建的CHILD_SA
3. 确保正在建立的会话不会被错误清理

影响与建议

该问题主要影响以下使用场景：

• 使用自动连接功能的配置
• 需要频繁重载配置的环境
• 网络状况不稳定导致连接建立时间较长的场景

建议用户：

1. 如果依赖自动连接功能，暂时停留在5.9.14版本
2. 或使用包含修复的2418-vici-reload-tasks分支版本
3. 避免在连接建立过程中重载配置

后续发展

修复方案已经过测试验证，确认解决了原始问题。开发团队将继续关注相关改动对其他功能模块的影响，确保系统稳定性。用户应注意，虽然此特定问题已解决，但在配置重载过程中可能还存在其他边界情况需要处理。