Sama IKEv2 identiteet kahel iPhone'il? Nad ühenduvad kordamööda
Kahele seadmele kopeeritud profiil annab lüüsile ühe peeri kahe asemel. Jälgige, kuidas peer-tabel täitub ja tühjeneb, seejärel väljastage igale seadmele väärtus.
Kaks telefoni, üks profiil ja muster, mis tundub üleloomulik, kuni keegi lüüsi vaatab. Üks seade hoiab tunnelit, teine ühendub ja esimene kaotab selle sekundite jooksul. Esimene ühendub uuesti ja teine kukub välja. Süüdistatakse akusäästu, Wi-Fi-rändlust ja operaatori NAT-i, samal ajal kui tegelik põhjus istub tekstiväljas, mis kopeeriti koos kõige muuga. IKEv2 tuvastab peeri nime järgi ja mõlemad telefonid esitavad sama nime.
Identiteet on võti, mille alla server sind salvestab
IKEv2 vahetuse sees teatab kumbki pool, kes ta on: algataja saadab kohaliku identifikaatori, vastaja vastab omaga ning vastaja kontrollib ka algataja väidetud identiteeti poliitika vastu. Lüüs hoiab oma olekut identiteedi, mitte seadme kaupa, sest seade pole midagi, mida ta näha saab. Seetõttu saabuvad kaks telefoni ühe identifikaatoriga ühe peerina ja teine vahetus peab esimese üle kirjutama. Probleem ilmneb ainult siis, kui mõlemad on kasutuses, mistõttu ühe telefoniga test ei korrata seda kunagi.
Miski sellest ei ole kliendi viga. Klient saatis täpselt selle, mida profiil käskis tal saata.
Kuidas kokkupõrge lüüsist paistab
Vaadake peer-nimekirja, kui mõlemad telefonid on ärkvel ja kasutuses. Kokkupõrge näitab ühte kirjet, mille aadress muutub telefonide vahetudes, ja aktiivsete sessioonide loendur ei jõua kunagi kaheni. Nõudmisel lammutamine näeb teistsugune välja ja nende eristamiseks on vaja ühte vaatlust, mitte teooriat.
| Observation | Shared identity | Idle teardown |
|---|---|---|
| Peer entries while both are awake | One, with a changing address | One per phone, or none |
| What triggers the drop | The other device connecting | Time without traffic |
| What restores it | The other device disconnecting | Any app needing the tunnel |
Kirjutage mõlemad sündmused ajatemplitega üles, kui see juhtub. Katkestus, mis langeb kokku teise seadme ühendumisega, viitab identifikaatorile, ja katkestus, mis saabub üks jõudeoleku intervall pärast viimast paketti, viitab taimerile.
Kust duplikaadid tulevad
Ühe töötava konfiguratsiooni eksportimine ja ainult serveriaadressi muutmine loob teise faili, milles on endiselt esimese faili identiteet. See on tavaline tee selle tõrkeni ja juhtub tavaliselt väikese grupi kiirustades kasutuselevõtul.
Väljade nimed teevad selle märkamata jätmise lihtsaks. Kaugidentifikaator nimetab lüüsi, mida telefon ootab, ja selle kopeerimine on õige. Kohalik identifikaator nimetab selle seadme lüüsile, ja just selle väärtuse kopeerimine on kogu probleem.
Väljastage igale seadmele väärtus
Kasutage midagi seadme jaoks ainulaadset ja kogu eluea jooksul püsivat, näiteks seadme identifikaatorit varudest või väärtust, mille teie haldussüsteem iga registreerimise jaoks genereerib. Osakonna silt, ühine teenusekonto nimi või kasutaja e-posti aadress põrkuvad kõik niipea, kui sellel inimesel on teine seade.
Genereerige kasulik koormus iga seadme jaoks, mitte ärge jagage ühte faili. Märkige üles, milline väärtus kuulub millisele seadmele, et asendus ei taastaks vana profiili ja ei saadaks uut telefoni otse samasse kokkupõrkesse.
Kontrollige ka serveripoolt. Lüüs, mis seob identiteedi fikseeritud tunneli aadressiga, võib ikkagi põrkuda, kui kaks erinevat identifikaatorit saavad sama määramise, seega kinnitage, et poolis on ruumi ja et määramised ei ole kasutaja külge kinnitatud.
Kontrollige mõlema telefoniga ärkvel
Ühendage esimene, jõudke privaatse ressursini, seejärel ühendage teine ja jätke mõlemad minutiks jõude. Mõlemad sessioonid peaksid püsima ja peer-nimekiri peaks näitama kahte identiteeti. Seejärel lukustage ja avage iga telefon, et kinnitada, et jõudeoleku juhtum käitub endiselt õigesti.
Kui üksik sessioon kukub endiselt kord päevas välja, ilma et midagi muud ühenduks, ei ole identiteet enam kahtlusalune. Liikuge edasi jõudeoleku taimerite ja serveri sessioonipiirangute juurde, selle asemel et profiili uuesti muuta.