iPhone Always On VPN: দুটি টানেল একটি ভার্চুয়াল IP শেয়ার করতে পারে

পরিচালিত Always On প্রোফাইলসহ তত্ত্বাবধানে থাকা iPhone-এ ফোন প্রতিটি সক্রিয় IP ইন্টারফেসের জন্য একটি টানেল রাখে, তাই সেলুলার ও Wi-Fi প্রত্যেকে নিজেরটি পায়। এরপর সার্ভার একটি ডিভাইসের জন্য দুটি IKE নিরাপত্তা সংযোগ তালিকাভুক্ত করে, প্রায়ই একটি ভার্চুয়াল ঠিকানা শেয়ার করে, এবং প্রথম প্রবণতা হলো এটিকে rekey লুপ বলা এবং টাইমার বদলাতে শুরু করা। সেই প্রবণতা সাধারণত ভুল। নিচের ধাপগুলো সার্ভারে প্রমাণ যেভাবে দেখা যায় সেই ক্রমে করুন, এবং সার্ভার আপনার কোন কেস তা না বলা পর্যন্ত ফোনের সেটিংস ছেড়ে দিন।

সার্ভারের কাছে ইতিমধ্যে থাকা দুটি সারি দিয়ে শুরু করুন

সংযোগগুলো swanctl --list-sas দিয়ে তালিকাভুক্ত করুন এবং উভয় এন্ট্রিতে চারটি ফিল্ড পড়ুন: দূরবর্তী ঠিকানা, প্রমাণিত পরিচয়, বরাদ্দকৃত ভার্চুয়াল IP এবং তৈরির সময়। একটি পরিচয় ও একটি ভার্চুয়াল IP সহ দুটি ভিন্ন বাহ্যিক ঠিকানা এই প্রশ্নটির সূচনা ছিল, এবং যেকোনো পরিবর্তনের আগে এটি লিখে রাখা উচিত। এরপর প্রতিটির সাথে যুক্ত চাইল্ড সংযোগ পরীক্ষা করুন, কারণ ট্র্যাফিক সিলেক্টর নির্ধারণ করে গন্তব্য অনুসন্ধান কখনো দুটি টানেলের পার্থক্য করতে পারে কি না। সেকেন্ডের মধ্যে দেখা দিয়ে মিলিয়ে যাওয়া জোড়া ঘণ্টার পর ঘণ্টা বেঁচে থাকা জোড়ার চেয়ে ভিন্ন প্রাণী।

সিদ্ধান্তে পৌঁছানোর আগে তালিকাটি তৈরির সময় অনুসারে সাজান। আউটপুটে পাশাপাশি থাকার কোনো অর্থ নেই, এবং সারণি আকারের তালিকা ঠিক সেই ভুলটির আমন্ত্রণ জানায়।

আপনি কোন ওভারল্যাপ দেখছেন তা নির্ধারণ করুন

IKEv2 rekey এবং make-before-break পুনঃপ্রমাণীকরণ ইচ্ছাকৃতভাবে সংক্ষিপ্ত ওভারল্যাপ তৈরি করে, পুরোনো সংযোগ মুছে ফেলার আগে নতুনটি প্রতিষ্ঠা করে। সময়ের চিহ্ন বিষয়টি নির্ধারণ করে, কারণ নতুনটি দেখা দেওয়ার এক-দুই সেকেন্ড পর মিলিয়ে যাওয়া পুরোনো SA হলো নিজের কাজ করা নবায়ন। স্বাধীন ইন্টারফেস টানেল কখনো এমন দেখায় না, কারণ প্রত্যেকে নিজের ইন্টারফেস চালু থাকা পর্যন্ত টিকে থাকে, এবং একটি মুছে ফেলা অন্যটি তৈরির থেকে আসে না।

Apple-এর পরিচালিত Always On আচরণ প্রতি ইন্টারফেসে, তাই তত্ত্বাবধানে থাকা ডিভাইস হাতে সেট করা প্রোফাইলের চেয়ে বৈধভাবে বেশি ব্যস্ত দেখাতে পারে। প্রোভাইডার অ্যাপের অটো-কানেক্ট টগল একই কথা বোঝায় না, এবং সাধারণ on-demand নিয়মও না। Apple-এর ডিপ্লয়মেন্ট ওভারভিউ প্রতি ইন্টারফেস মডেল বর্ণনা করে; লুপ ধরে নেওয়ার আগে আপনার দুটি সারি এর সাথে তুলনা করুন। উভয় আকৃতি একই সার্ভার পুল থেকে নেয়, তাই ওভারল্যাপই আপনার একমাত্র প্রাথমিক সংকেত।

দেখুন কেন দুটি টানেলের জন্য একটি ভার্চুয়াল ঠিকানা উত্তর ভাঙে

ফোনের প্রতি উত্তর অভ্যন্তরীণ ঠিকানায় পাঠানো হয়, এবং কার্নেল গন্তব্য ও নীতি অনুসারে বহির্গামী টানেল বেছে নেয়, ফোন যে ইন্টারফেস ব্যবহার করেছে তার ভিত্তিতে নয়। একই ভার্চুয়াল IP এবং মিলে যাওয়া নীতিসহ দুটি সমকালীন সংযোগ রাউটিং সিদ্ধান্তকে উত্তর কোন সেশনের তা বলার পথ ছাড়াই রেখে দেয়। কিছু উত্তর ভুল টানেলে যায়, এবং ফোন এক দিকে কাজ করা বা Wi-Fi উঠলে মরে যাওয়া সংযোগ দেখায়। দুটি কমান্ড আউটপুট অবস্থা প্রমাণ করে: swanctl --list-sas উভয় SA-তে একই ভার্চুয়াল IP দেখায়, এবং ip xfrm policy দুটি একই রকম সিলেক্টর দেখায়।

এই আউটপুট জোড়াই আপনি পরিবর্তন রেকর্ডে আটকান। কোনোটি একা বিশ্বাসযোগ্য নয়, কারণ প্রত্যেকে আলাদাভাবে যুক্তিসঙ্গত দেখাতে পারে।

এটি সার্ভার পক্ষের ঠিকানা ও নীতি, ফোনের ভুল আচরণ নয়, এবং কোনো ক্লায়েন্ট সেটিং দুটি একই অভ্যন্তরীণ ঠিকানা আলাদা করে না। পুল একই মান দুইবার দিয়েছে এবং নীতি ইনস্টলার তা গ্রহণ করেছে। ক্লায়েন্টকে দোষ দেওয়ার আগে ফলাফল সার্ভারের দিক থেকে পড়ুন।

পুল বা সমকালীন মডেল বদলান, rekey টাইমার নয়

swanctl কনফিগারেশনে, অনন্যতা সংযোগের উপর স্পষ্ট নীতি: unique = replace নতুন প্রতিষ্ঠিত হলে পুরোনো সংযোগ সরায়, এবং unique = keep নতুন আসা ব্যক্তিকে প্রত্যাখ্যান করে। উভয় মান সংযোগ সেট করার সময় কাজ করে, তার ভিতরের চাইল্ড SA-তে নয়।

connections {
  ios-alwayson {
    unique = replace
  }
}

প্রতি ইন্টারফেস ক্লায়েন্টের জন্য কোনো মান নিরপেক্ষ নয়। keep দ্বিতীয় টানেল প্রত্যাখ্যান করে পরিচ্ছন্ন অবস্থা স্ক্রিন ফিরিয়ে আনে এবং পরিচালিত নকশা ভাঙে, অন্যদিকে replace পুরোনো টানেল ভেঙে ফেলে এবং এটি বিপরীত দিকের একই সমঝোতা। যদি সত্যিই দুটি টানেল প্রয়োজন হয়, পুল ব্যাকএন্ডকে একটি পরিচয়ের জন্য ভিন্ন লিজ দিতে হবে, এবং তার লিজ কী অনুরোধগুলো আলাদা করতে হবে। স্থির পরিচয়-থেকে-ঠিকানা সারণি আনন্দের সাথে একই ঠিকানা দুইবার ফিরিয়ে দেবে এবং মূল সমস্যাটি আরও কনফিগারেশনসহ পুনরুৎপাদন করবে। দ্বিতীয় স্থির ম্যাপিং যোগ করার আগে ব্যাকএন্ড কীভাবে লিজ কী করে তা পরীক্ষা করুন।

আপনি সত্যিই যে রূপান্তরগুলো মোতায়েন করেন তা পরীক্ষা করুন

সক্রিয় সেশন নিয়ে Wi-Fi সীমার বাইরে যান, তারপর ফিরে আসুন, এবং উত্তর দুদিকেই আসে কি না পরীক্ষা করুন। এটি দুইবার করুন, কারণ দ্বিতীয় পরিবর্তনেই পুরোনো নীতি সাধারণত দেখা যায়। আপনার খোলা সংযোগে উত্তর দেয় এমন সেবা দিয়ে পরীক্ষা করুন, এবং টানেল নিষ্ক্রিয় না থেকে ট্র্যাফিক বহন করার সময় বাইরে যাওয়া পুনরাবৃত্তি করুন। যে ফোন পাঠাতে পারে কিন্তু গ্রহণ করতে পারে না, তা handshake লগে সুস্থ এবং ব্রাউজারে ভাঙা দেখায়।

এক লাইনে নামানো অবস্থা স্ক্রিন কাজ করা নকশার প্রমাণ নয়, শুধু একটি টানেল চলে যাওয়ার প্রমাণ। পরিবর্তন পাস হওয়ার আগে উভয় দিককেই কাজ করতে হবে। আপনি যা পর্যবেক্ষণ করেছেন তা ওভারল্যাপ পরীক্ষার দুটি আউটপুটের সাথে লিখে রাখুন, যাতে পরবর্তী প্রকৌশলী পুনরাবৃত্তির বদলে তুলনা করতে পারেন।