Sama IKEv2-idento sur du iPhone? Ili alterne konektiĝas
Unu profilo kopiita al du aparatoj donas al la pordego unu peer anstataŭ du. Observu la peer-tabelon pleniĝi kaj malpleniĝi, poste eldonu valoron por ĉiu aparato.
Du telefonoj, unu profilo kaj ŝablono, kiu aspektas supernatura ĝis iu rigardas la pordegon. Unu aparato tenas la tunelon, la dua konektiĝas, kaj la unua perdas ĝin ene de sekundoj. La unua rekonektiĝas kaj la dua falas. Bateria ŝparado, Wi-Fi-ĉirkaŭvojaĝado kaj la NAT de la operatoro estas kulpigitaj, dum la vera kaŭzo sidas en teksta kampo kopiita kune kun ĉio alia. IKEv2 identigas peer per nomo, kaj ambaŭ telefonoj prezentas la saman.
La idento estas la ŝlosilo sub kiu la servilo konservas vin
Ene de IKEv2-interŝanĝo ĉiu flanko deklaras, kiu ĝi estas: la iniciatanto sendas lokan identigilon, la respondanto respondas per sia propra, kaj la respondanto ankaŭ kontrolas la identecon asertitan de la iniciatanto kontraŭ la politiko. La pordego konservas sian staton laŭ idento, ne laŭ aparato, ĉar aparato ne estas io, kion ĝi povas vidi. Du telefonoj kun unu identigilo do alvenas kiel unu peer, kaj la dua interŝanĝo devas anstataŭigi la unuan. La problemo aperas nur dum ambaŭ estas uzataj, kaj tial testado per unu telefono neniam reproduktas ĝin.
Nenio el tio estas krekaĵo en la kliento. La kliento sendis ĝuste tion, kion la profilo diris al ĝi sendi.
Kiel la kolizio aspektas de la pordego
Rigardu la peer-liston dum ambaŭ telefonoj estas vekaj kaj uzataj. Kolizio montras unu solan enskribon, kies adreso ŝanĝiĝas dum la telefonoj alternas, kaj la nombrilo de aktivaj sesioj neniam atingas du. Malŝalto laŭpostule aspektas alie, kaj distingi ilin postulas unu observon, ne teorion.
| Observation | Shared identity | Idle teardown |
|---|---|---|
| Peer entries while both are awake | One, with a changing address | One per phone, or none |
| What triggers the drop | The other device connecting | Time without traffic |
| What restores it | The other device disconnecting | Any app needing the tunnel |
Notu ambaŭ eventojn kun tempstampoj dum ĝi okazas. Falo, kiu koincidas kun la konektiĝo de la alia aparato, indikas la identigilon, kaj falo, kiu venas unu senaktivan intervalon post la lasta paketo, indikas temporizilon.
De kie venas la duplikatoj
Eksporti unu funkciantan agordon kaj redakti nur la servilan adreson produktas duan dosieron, en kiu la idento de la unua dosiero ankoraŭ estas. Tio estas la ordinara vojo al ĉi tiu malsukceso, kaj ĝi kutime okazas dum hastema enkonduko de malgranda grupo.
La kampnomoj faciligas maltrafi ĝin. La fora identigilo nomas la pordegon, kiun la telefono atendas, kaj kopii ĝin estas ĝuste. La loka identigilo nomas ĉi tiun aparaton al la pordego, kaj kopii tiun valoron estas la tuta problemo.
Eldonu valoron por ĉiu aparato
Uzu ion unikan por la aparato kaj stabilan dum ĝia tuta vivo, kiel la aparata identigilo el la inventaro aŭ valoro, kiun via administra sistemo generas por ĉiu registriĝo. Faka etikedo, komuna nomo de servokonto aŭ la retadreso de la uzanto ĉiuj kolizias tuj kiam tiu persono havas duan aparaton.
Generu la ŝarĝon por ĉiu aparato anstataŭ distribui unu dosieron. Registru, kiu valoro apartenas al kiu aparato, por ke anstataŭigo ne restarigu la malnovan profilon kaj reĵetu la novan telefonon rekte en la saman kolizion.
Kontrolu ankaŭ la servilan flankon. Pordego, kiu mapas la identon al fiksa tunela adreso, ankoraŭ povas kolizii kiam du malsamaj identigiloj ricevas la saman asignon, do konfirmu, ke la baseno havas lokon kaj ke asignoj ne estas fiksitaj laŭ uzanto.
Kontrolu kun ambaŭ telefonoj vekaj
Konektu la unuan, atingi privatan rimedon, poste konektu la duan kaj lasu ambaŭ senaktivaj dum unu minuto. Ambaŭ sesioj devus daŭri kaj la peer-listo devus montri du identojn. Poste ŝlosu kaj malŝlosu ĉiun telefonon por konfirmi, ke la senaktiva kazo ankoraŭ kondutas ĝuste.
Se unu sola sesio daŭre falas unufoje tage, dum nenio alia konektiĝas, la idento jam ne estas la suspektato. Transiru al senaktivaj temporiziloj kaj servilaj sesiolimoj anstataŭ redakti la profilon denove.