Ίδια ταυτότητα IKEv2 σε δύο iPhone; Εναλλάσσονται στη σύνδεση
Ένα προφίλ αντιγραμμένο σε δύο συσκευές δίνει στην πύλη ένα peer αντί για δύο. Παρακολουθήστε τον πίνακα peer να γεμίζει και να αδειάζει και μετά εκχωρήστε μια τιμή ανά συσκευή.
Δύο τηλέφωνα, ένα προφίλ και ένα μοτίβο που φαίνεται υπερφυσικό μέχρι κάποιος να κοιτάξει την πύλη. Η μία συσκευή κρατά τη σήραγγα, η δεύτερη συνδέεται και η πρώτη τη χάνει μέσα σε δευτερόλεπτα. Η πρώτη επανασυνδέεται και η δεύτερη πέφτει. Κατηγορούνται η εξοικονόμηση μπαταρίας, το Wi-Fi roaming και το NAT του παρόχου, ενώ το πραγματικό αίτιο βρίσκεται σε ένα πεδίο κειμένου που αντιγράφηκε μαζί με όλα τα άλλα. Το IKEv2 αναγνωρίζει ένα peer με όνομα, και τα δύο τηλέφωνα παρουσιάζουν το ίδιο.
Η ταυτότητα είναι το κλειδί με το οποίο ο διακομιστής σε αποθηκεύει
Μέσα σε μια ανταλλαγή IKEv2 κάθε πλευρά δηλώνει ποια είναι: ο αρχικός αποστολέας στέλνει ένα τοπικό αναγνωριστικό, ο αποκρινόμενος απαντά με το δικό του και ελέγχει επίσης την ταυτότητα που δήλωσε ο αρχικός ως προς την πολιτική. Η πύλη κρατά την κατάστασή της ανά ταυτότητα και όχι ανά συσκευή, γιατί μια συσκευή δεν είναι κάτι που μπορεί να δει. Έτσι δύο τηλέφωνα με ένα αναγνωριστικό φτάνουν ως ένα peer, και η δεύτερη ανταλλαγή πρέπει να αντικαταστήσει την πρώτη. Το πρόβλημα εμφανίζεται μόνο όσο χρησιμοποιούνται και τα δύο, γι' αυτό μια δοκιμή με ένα τηλέφωνο δεν το αναπαράγει ποτέ.
Τίποτα από αυτά δεν είναι σφάλμα του πελάτη. Ο πελάτης έστειλε ακριβώς ό,τι του είπε το προφίλ να στείλει.
Πώς φαίνεται η σύγκρουση από την πύλη
Κοιτάξτε τη λίστα peer όσο και τα δύο τηλέφωνα είναι ενεργά και σε χρήση. Μια σύγκρουση εμφανίζει μία μόνο καταχώριση της οποίας η διεύθυνση αλλάζει καθώς τα τηλέφωνα εναλλάσσονται, και ο μετρητής ενεργών συνεδριών δεν φτάνει ποτέ στο δύο. Η κατάργηση κατά απαίτηση φαίνεται διαφορετική, και η διάκρισή τους απαιτεί μία παρατήρηση και όχι μια θεωρία.
| Observation | Shared identity | Idle teardown |
|---|---|---|
| Peer entries while both are awake | One, with a changing address | One per phone, or none |
| What triggers the drop | The other device connecting | Time without traffic |
| What restores it | The other device disconnecting | Any app needing the tunnel |
Καταγράψτε και τα δύο γεγονότα με χρονικές σφραγίδες όσο συμβαίνει. Μια διακοπή που συμπίπτει με τη σύνδεση της άλλης συσκευής δείχνει το αναγνωριστικό, και μια διακοπή που έρχεται ένα διάστημα αδράνειας μετά το τελευταίο πακέτο δείχνει έναν χρονομετρητή.
Από πού προέρχονται τα διπλότυπα
Η εξαγωγή μιας λειτουργικής διαμόρφωσης και η επεξεργασία μόνο της διεύθυνσης του διακομιστή παράγει ένα δεύτερο αρχείο με την ταυτότητα του πρώτου ακόμη μέσα του. Αυτή είναι η συνήθης διαδρομή προς αυτή την αποτυχία, και συνήθως συμβαίνει όταν μια μικρή ομάδα εντάσσεται βιαστικά.
Τα ονόματα των πεδίων κάνουν εύκολο να το χάσει κανείς. Το απομακρυσμένο αναγνωριστικό ονομάζει την πύλη που περιμένει το τηλέφωνο, και η αντιγραφή του είναι σωστή. Το τοπικό αναγνωριστικό ονομάζει αυτή τη συσκευή στην πύλη, και η αντιγραφή αυτής της τιμής είναι όλο το πρόβλημα.
Εκχωρήστε μια τιμή ανά συσκευή
Χρησιμοποιήστε κάτι μοναδικό για τη συσκευή και σταθερό για όλη τη διάρκεια ζωής της, όπως το αναγνωριστικό συσκευής από το απόθεμα ή μια τιμή που παράγει το σύστημα διαχείρισής σας για κάθε εγγραφή. Μια ετικέτα τμήματος, ένα κοινό όνομα λογαριασμού υπηρεσίας ή η διεύθυνση email του χρήστη συγκρούονται μόλις αυτό το άτομο αποκτήσει δεύτερη συσκευή.
Δημιουργήστε το ωφέλιμο φορτίο ανά συσκευή αντί να διανέμετε ένα αρχείο. Καταγράψτε ποια τιμή ανήκει σε ποια συσκευή, ώστε μια αντικατάσταση να μην επαναφέρει το παλιό προφίλ και ρίξει το νέο τηλέφωνο κατευθείαν στην ίδια σύγκρουση.
Ελέγξτε και την πλευρά του διακομιστή. Μια πύλη που αντιστοιχίζει την ταυτότητα σε σταθερή διεύθυνση σήραγγας μπορεί ακόμη να συγκρουστεί όταν δύο διαφορετικά αναγνωριστικά λάβουν την ίδια εκχώρηση, οπότε επιβεβαιώστε ότι η δεξαμενή έχει χώρο και ότι οι εκχωρήσεις δεν είναι καρφιτσωμένες ανά χρήστη.
Επαληθεύστε με τα δύο τηλέφωνα ενεργά
Συνδέστε το πρώτο, φτάστε σε έναν ιδιωτικό πόρο, μετά συνδέστε το δεύτερο και αφήστε και τα δύο αδρανή για ένα λεπτό. Και οι δύο συνεδρίες πρέπει να παραμείνουν και η λίστα peer πρέπει να δείχνει δύο ταυτότητες. Μετά κλειδώστε και ξεκλειδώστε κάθε τηλέφωνο για να επιβεβαιώσετε ότι η περίπτωση αδράνειας συμπεριφέρεται ακόμη σωστά.
Αν μία μόνο συνεδρία εξακολουθεί να πέφτει μία φορά την ημέρα χωρίς τίποτε άλλο να συνδέεται, η ταυτότητα δεν είναι πλέον ο ύποπτος. Προχωρήστε σε χρονομετρητές αδράνειας και όρια συνεδριών διακομιστή αντί να επεξεργαστείτε ξανά το προφίλ.