Dieselfde IKEv2-identiteit op twee iPhones? Hulle wissel mekaar af om te koppel

Twee telefone, een profiel en 'n patroon wat bonatuurlik lyk tot iemand die gateway dophou. Een toestel hou die tonnel, die tweede koppel, en die eerste verloor dit binne sekondes. Die eerste koppel weer en die tweede val weg. Batterybesparing, Wi-Fi-swerm en draer-NAT kry almal die skuld, terwyl die werklike oorsaak in 'n teksveld sit wat saam met alles anders gekopieer is. IKEv2 identifiseer 'n eweknie aan die hand van 'n naam, en albei telefone bied dieselfde een aan.

Die identiteit is die sleutel waaronder die bediener jou stoor

Binne 'n IKEv2-uitruiling sê elke kant wie hy is: die inisieerder stuur 'n plaaslike identifiseerder, die reageerder antwoord met sy eie, en die reageerder kontroleer ook die identiteit wat die inisieerder beweer het teen die beleid. Die gateway hou sy toestand per identiteit eerder as per toestel, want 'n toestel is nie iets wat hy kan sien nie. Twee telefone met een identifiseerder kom dus as een eweknie aan, en die tweede uitruiling moet die eerste oorskryf. Die moeilikheid kom eers na vore terwyl albei in gebruik is, en daarom reproduseer 'n toets met een telefoon dit nooit nie.

Niks hiervan is 'n fout in die kliënt nie. Die kliënt het presies gestuur wat die profiel hom beveel het om te stuur.

Hoe die botsing by die gateway lyk

Kyk na die eweknie-lys terwyl albei telefone wakker en in gebruik is. 'n Botsing wys 'n enkele inskrywing waarvan die adres verander soos die telefone mekaar vervang, terwyl die teller van aktiewe sessies nooit twee bereik nie. Vraaggestuurde aftakeling lyk anders, en om hulle te onderskei verg een waarneming eerder as 'n teorie.

Skryf albei gebeurtenisse met tydstempels neer terwyl dit gebeur. 'n Onderbreking wat saamval met die ander handstel se koppeling wys na die identifiseerder, en een wat een stil interval ná die laaste pakket kom, wys na 'n tydhouer.

Waar die duplikate vandaan kom

Om een werkende konfigurasie uit te voer en net die bedieneradres te wysig, lewer 'n tweede lêer met die eerste lêer se identiteit nog binne-in. Dit is die gewone pad na hierdie fout, en dit gebeur gewoonlik wanneer 'n klein groepie haastig ingeskakel word.

Die veldname maak dit maklik om dit mis te kyk. Die afgeleë identiteit noem die gateway wat die telefoon verwag, en om dit te kopieer is reg. Die plaaslike identiteit stel hierdie toestel aan die gateway bekend, en om daardie waarde te kopieer is die hele probleem.

Reik 'n waarde per toestel uit

Gebruik iets uniek aan die handstel en stabiel vir sy lewensduur, soos die toestelidentifiseerder uit die inventaris of 'n waarde wat jou bestuurstelsel per inskrywing genereer. 'n Departementetiket, 'n gedeelde diensrekeningnaam of die gebruiker se e-posadres bots almal sodra daardie persoon 'n tweede toestel het.

Genereer die nutsvrag per toestel eerder as om een lêer te versprei. Teken aan watter waarde aan watter handstel behoort, sodat 'n vervanging nie die ou profiel herstel en die nuwe telefoon dadelik weer in dieselfde botsing laat beland nie.

Kontroleer ook die bedienerkant. 'n Gateway wat die identiteit aan 'n vaste tonneladres koppel, kan steeds bots wanneer twee verskillende identifiseerders dieselfde toekenning kry, so bevestig dat die poel ruimte het en dat toekennings nie per gebruiker vasgepen is nie.

Verifieer met albei telefone wakker

Koppel die eerste, bereik 'n private hulpbron, koppel dan die tweede en laat albei 'n minuut lank onaktief. Albei sessies behoort te bly voortduur en die eweknie-lys behoort twee identiteite te wys. Sluit en ontsluit dan elke telefoon om te bevestig dat die onaktiewe geval steeds reg werk.

As 'n enkele sessie steeds een keer per dag onderbreek sonder dat iets anders koppel, is die identiteit nie meer die verdagte nie. Gaan eerder voort na onaktiewe tydhouers en bediener-sessielimiete in plaas van om die profiel weer te wysig.