StrongSwan CHILD_SA连接失败触发Zabbix告警，请求排查解决

老哥，看起来你遇到的是StrongSwan的CHILD_SA意外终止导致Zabbix反复告警的麻烦，我给你分析几个可能的根因和对应的排查、解决步骤：

1. 先排查Inactivity超时配置的问题 #

看你的VPN配置里，Zabbix-to-vyatta模板设置了inactivity = 23h，而Zabbix-to-Deluxe继承了这个配置。这个参数会在连接闲置满23小时后触发动作，如果这段时间内没有业务流量通过CHILD_SA，StrongSwan就会直接终止它，自然会触发Zabbix的断连告警。

• 解决思路：如果你的业务流量不是持续的，要么把inactivity调得更长（比如设置为0直接关闭闲置检测），要么确认dpdaction=restart是否真的能在闲置超时后自动重建连接，而不是直接终止。

2. 检查Rekey/Reauth配置的冲突与两端一致性 #

你的配置里明确了reauth = no、rekey = yes，同时设置了lifetime = 24h，这里可能藏着问题：

• Rekey是指在连接到期前协商新的SA，要是两端的Rekey配置不匹配（比如对端设备不允许rekey、加密套件不兼容），就会协商失败导致CHILD_SA直接终止。
• 一定要检查对端VPN设备的lifetime设置，如果对端的超时时间比24h短，它会主动终止CHILD_SA，你的端自然会断连告警。
• 建议去看StrongSwan的本地日志（比如/var/log/strongswan.log或者/var/log/syslog里的相关条目），找CHILD_SA停止前的日志，有没有rekeying failed、no proposal chosen这类协商失败的关键词。

3. 优化DPD配置让连接恢复更灵敏 #

你的配置里DPD相关参数是dpddelay=30s、dpdtimeout=14400s、dpdaction=restart，但这个配置可能不够灵敏：

• dpdtimeout=14400s相当于4小时，也就是说要等4小时没收到对端响应才会触发动作，这段时间足够Zabbix反复告警了。可以把dpdtimeout缩短到300s（5分钟），dpddelay改成10s，让DPD检测更及时，一旦发现对端无响应立刻尝试重建连接。
• 另外注意你配置里重复写了两次dpdaction，虽然后面的restart会覆盖前面的clear，但最好把重复的配置删掉，避免后续维护混淆。

4. 检查StrongSwan版本是否存在已知Bug #

如果你的StrongSwan版本比较旧（比如低于5.8.x），可能存在CHILD_SA rekey或者闲置处理的Bug，这些Bug在新版本里已经被修复。你可以在终端里执行strongswan version查看当前版本，要是版本太旧，建议升级到稳定版试试。

临时缓解方案优化 #

你现在每次重启整个strongswan服务，其实没必要，这样会影响所有VPN连接。可以针对性地重启出问题的那个连接，效率更高，影响也小：

ipsec down Zabbix-to-Deluxe && ipsec up Zabbix-to-Deluxe

关键排查建议 #

一定要拿到CHILD_SA停止前后的详细日志，重点找这些关键词：

• CHILD_SA closed
• rekeying failed
• DPD timeout
• no response from peer
  这些日志条目会直接告诉你CHILD_SA终止的具体原因，是协商失败、网络超时还是配置冲突，能帮你精准定位问题。

备注：内容来源于stack exchange，提问作者Siraj Khan