iPhone Always On VPN: gall dau dwnnel rannu un IP rhithwir

Ar iPhone dan oruchwyliaeth gyda phroffil Always On wedi'i reoli, mae'r ffôn yn dal twnnel ar gyfer pob rhyngwyneb IP actif, felly mae'r rhwydwaith symudol a'r Wi-Fi yn cael un yr un. Yna mae'r gweinydd yn rhestru dwy gymdeithas diogelwch IKE ar gyfer un ddyfais, yn aml yn rhannu un cyfeiriad rhithwir, a'r reddf gyntaf yw galw hynny'n ddolen ailosod allwedd a dechrau newid amseryddion. Mae'r reddf honno fel arfer yn anghywir. Ewch drwy'r camau isod yn y drefn y mae'r dystiolaeth yn ymddangos ar y gweinydd, a gadewch osodiadau'r ffôn yn llonydd nes bod y gweinydd yn dweud wrthych pa achos sydd gennych.

Dechreuwch gyda'r ddwy res sydd eisoes gan y gweinydd

Rhestrwch y cymdeithasau gyda swanctl --list-sas a darllenwch bedwar maes ar draws y ddau gofnod: y cyfeiriad pell, yr hunaniaeth sydd wedi'i dilysu, yr IP rhithwir a neilltuwyd, ac amser y creu. Dau gyfeiriad allanol gwahanol gydag un hunaniaeth ac un IP rhithwir yw'r siâp a ddechreuodd y cwestiwn hwn, ac mae'n werth ei nodi cyn unrhyw newid. Yna gwiriwch y cymdeithasau plentyn sydd ynghlwm wrth bob un, oherwydd y dewiswyr traffig sy'n penderfynu a allai chwiliad cyrchfan byth wahaniaethu'r dau dwnnel. Mae pâr sy'n ymddangos ac yn diflannu o fewn eiliadau yn anifail gwahanol i bâr sy'n byw am oriau.

Trefnwch y rhestr yn ôl amser y creu cyn dod i gasgliad. Nid yw cyfagosrwydd yn yr allbwn yn golygu dim, ac mae rhestr tablaidd yn gwahodd yr union gamgymeriad hwnnw.

Penderfynwch pa orgyffwrdd rydych yn edrych arno

Mae ailosod allwedd IKEv2 ac ail-ddilysu make-before-break yn creu gorffwrdd byr yn fwriadol, gan sefydlu'r gymdeithas newydd cyn dileu'r hen un. Mae stampiau amser yn setlo'r achos, oherwydd mae hen SA sy'n diflannu eiliad neu ddwy ar ôl i'r newydd ymddangos yn adnewyddu sy'n gwneud ei waith. Nid yw twneli rhyngwyneb annibynnol byth yn edrych felly, gan fod pob un yn parhau tra bo ei ryngwyneb i fyny, ac nid yw dileu un yn dilyn o greu'r llall.

Mae ymddygiad Always On wedi'i reoli gan Apple yn fesul rhyngwyneb, a dyna pam y gall dyfais dan oruchwyliaeth edrych yn brysurach na phroffil a ffurfweddwyd â llaw. Nid yw togl cysylltu awtomatig ap darparwr yn awgrymu'r un peth, ac nid yw rheol on-demand gyffredin chwaith. Mae trosolwg defnydd Apple yn disgrifio'r model fesul rhyngwyneb; cymharwch eich dwy res ag ef cyn tybio dolen. Mae'r ddau siâp hefyd yn tynnu o'r un pwll ar y gweinydd, felly'r gorffwrdd yw eich unig signal cynnar.

Gwelwch pam mae un cyfeiriad rhithwir ar gyfer dau dwnnel yn torri atebion

Mae ateb i'r ffôn yn cael ei gyfeirio at y cyfeiriad mewnol, ac mae'r cnewyllyn yn dewis twnnel allanol yn ôl cyrchfan a pholisi, nid yn ôl y rhyngwyneb a ddefnyddiodd y ffôn. Mae dwy gymdeithas gyfredol sy'n dal yr un IP rhithwir gyda pholisïau sy'n cyd-daro yn gadael y penderfyniad llwybro heb ffordd i ddweud i ba sesiwn y mae ateb yn perthyn. Mae rhai atebion yn cymryd y twnnel anghywir, ac mae'r ffôn yn dangos cysylltiad sy'n gweithio un ffordd neu'n marw pan ddaw Wi-Fi i fyny. Mae dau allbwn gorchymyn yn profi'r cyflwr: swanctl --list-sas yn dangos yr un IP rhithwir ar y ddwy SA, a ip xfrm policy yn dangos dau ddewisydd union yr un fath.

Y pâr hwnnw o allbynnau hefyd yw'r hyn rydych yn ei bastio i'r cofnod newid. Nid yw'r naill na'r llall ar ei ben ei hun yn argyhoeddiadol, oherwydd gall y naill neu'r llall edrych yn gredadwy ar wahân.

Mae hyn yn gyfeirio a pholisi ar ochr y gweinydd, nid camymddygiad y ffôn, ac nid oes unrhyw osodiad cleient yn gwahanu dau gyfeiriad mewnol union yr un fath. Rhoddodd y pwll yr un gwerth ddwywaith ac fe'i derbyniodd gan osodwr y polisi. Darllenwch y canlyniad o ochr y gweinydd cyn beio'r cleient.

Newidiwch y pwll neu'r model cydredol, nid yr amserydd ailosod allwedd

Mewn ffurfweddiad swanctl, mae unigrywiaeth yn bolisi penodol ar y cysylltiad: mae unique = replace yn tynnu hen gysylltiad pan fydd un newydd yn sefydlu, ac mae unique = keep yn gwrthod y newydd-ddyfodiad. Mae'r ddau werth yn gweithredu pan osodir cysylltiad, nid ar y SA plentyn y tu mewn iddo.

connections {
  ios-alwayson {
    unique = replace
  }
}

Nid yw'r naill werth na'r llall yn niwtral i gleient fesul rhyngwyneb. Mae keep yn adfer sgrin statws daclus trwy wrthod yr ail dwnnel ac yn torri'r dyluniad rheoledig, tra bod replace yn rhwygo'r hen dwnnel ac yr un cyfaddawd yw hwnnw i'r cyfeiriad arall. Os oes gwir angen y ddau dwnnel, rhaid i gefn y pwll gyhoeddi lesoedd gwahanol ar gyfer un hunaniaeth, a rhaid i'w allwedd les wahaniaethu'r ceisiadau. Bydd tabl statig hunaniaeth-i-gyfeiriad yn fodlon dychwelyd yr un cyfeiriad ddwywaith ac yn atgynhyrchu'r broblem wreiddiol gyda mwy o ffurfweddiad. Gwiriwch sut mae'r cefn yn allweddu lesoedd cyn ychwanegu ail fap statig.

Profwch y cyfnewidiadau rydych yn eu cyflenwi

Cerddwch allan o gyrraedd Wi-Fi gyda sesiwn actif, yna cerddwch yn ôl i mewn, a gwiriwch fod atebion yn cyrraedd y ddau gyfeiriad. Gwnewch hynny ddwywaith, oherwydd yr ail gyfnewidiad yw lle mae polisi hen ffasiwn fel arfer yn ymddangos. Profwch gyda gwasanaeth sy'n ateb ar y cysylltiad a agorwyd gennych, ac ailadroddwch y cerdded allan tra bod y twnnel yn cario traffig yn hytrach na sefyll yn segur. Mae ffôn sy'n gallu anfon ond nid derbyn yn edrych yn iach mewn log ysgwyd llaw ac yn doredig mewn porwr.

Nid yw sgrin statws wedi'i chwtogi i un res yn dystiolaeth o ddyluniad sy'n gweithio, dim ond tystiolaeth bod un twnnel wedi mynd. Rhaid i'r ddau gyfeiriad weithio cyn i gyfnewidiad basio. Nodwch yr hyn a sylwch, ynghyd â'r dau allbwn o'r gwiriad gorffwrdd, fel y gall y peiriannydd nesaf gymharu yn lle ailadrodd y daith gerdded.