Isti IKEv2 identitet na dva iPhonea? Naizmjenično se povezuju
Jedan profil kopiran na dva uređaja daje gatewayu jednog peera umjesto dva. Gledajte kako se tabela peerova puni i prazni, pa izdajte vrijednost za svaki uređaj.
Dva telefona, jedan profil i obrazac koji izgleda natprirodno dok neko ne pogleda gateway. Jedan uređaj drži tunel, drugi se povezuje, a prvi ga izgubi u roku od nekoliko sekundi. Prvi se ponovo povezuje, drugi ispada. Okrivljuju se ušteda baterije, Wi-Fi roaming i NAT operatera, dok stvarni uzrok sjedi u tekstualnom polju koje je kopirano zajedno sa svim ostalim. IKEv2 identificira peera po imenu, a oba telefona predstavljaju isto ime.
Identitet je ključ pod kojim te server čuva
Unutar IKEv2 razmjene svaka strana izjavljuje ko je: inicijator šalje lokalni identifikator, odgovarač odgovara svojim, a ujedno provjerava identitet koji je inicijator tvrdio prema politici. Gateway čuva stanje po identitetu, a ne po uređaju, jer uređaj nije nešto što može vidjeti. Dva telefona s jednim identifikatorom zato dolaze kao jedan peer, a druga razmjena mora prepisati prvu. Problem se pojavljuje samo dok su oba u upotrebi, zato test s jednim telefonom to nikad ne reprodukuje.
Ništa od ovoga nije greška u klijentu. Klijent je poslao tačno ono što mu je profil rekao da pošalje.
Kako sudar izgleda s gatewaya
Gledajte listu peerova dok su oba telefona budna i u upotrebi. Sudar pokazuje jedan zapis čija se adresa mijenja kako se telefoni izmjenjuju, a brojač aktivnih sesija nikad ne dosegne dva. Raskid na zahtjev izgleda drugačije, a razlikovanje traži jedno posmatranje, a ne teoriju.
| Observation | Shared identity | Idle teardown |
|---|---|---|
| Peer entries while both are awake | One, with a changing address | One per phone, or none |
| What triggers the drop | The other device connecting | Time without traffic |
| What restores it | The other device disconnecting | Any app needing the tunnel |
Zapišite oba događaja s vremenskim oznakama dok se dešava. Prekid koji se poklapa s povezivanjem drugog uređaja upućuje na identifikator, a prekid koji stigne jedan interval mirovanja nakon posljednjeg paketa upućuje na tajmer.
Odakle dolaze duplikati
Izvoz jedne radne konfiguracije i uređivanje samo adrese servera stvara drugu datoteku u kojoj je identitet prve datoteke još unutra. To je uobičajen put do ovog kvara i obično se događa pri brzom uvođenju male grupe.
Nazivi polja olakšavaju da se to propusti. Udaljeni identifikator imenuje gateway koji telefon očekuje, i kopirati ga je ispravno. Lokalni identifikator imenuje ovaj uređaj gatewayu, i kopiranje te vrijednosti je cijeli problem.
Izdajte vrijednost za svaki uređaj
Koristite nešto jedinstveno za uređaj i stabilno tokom njegovog života, poput identifikatora uređaja iz inventara ili vrijednosti koju vaš sistem upravljanja generiše pri svakoj registraciji. Oznaka odjela, zajedničko ime servisnog računa ili korisnička e-mail adresa sudaraju se čim ta osoba dobije drugi uređaj.
Generišite payload za svaki uređaj umjesto da distribuirate jednu datoteku. Zabilježite koja vrijednost pripada kojem uređaju, da zamjena ne obnovi stari profil i ne vrati novi telefon pravo u isti sudar.
Provjerite i serversku stranu. Gateway koji identitet preslikava na fiksnu adresu tunela i dalje može sudariti kada dva različita identifikatora dobiju istu dodjelu, zato potvrdite da pool ima mjesta i da dodjele nisu prikvačene po korisniku.
Provjerite s oba telefona budna
Povežite prvi, dođite do privatnog resursa, zatim povežite drugi i ostavite oba u mirovanju minutu. Obje sesije treba da opstanu, a lista peerova treba da pokaže dva identiteta. Zatim zaključajte i otključajte svaki telefon da potvrdite da slučaj mirovanja još funkcioniše.
Ako jedna sesija i dalje pada jednom dnevno bez ikakvog drugog povezivanja, identitet više nije osumnjičeni. Pređite na tajmere mirovanja i ograničenja sesija servera umjesto da ponovo uređujete profil.