iPhone Always On VPN: bi tunel batek IP birtual bat parteka dezakete

Always On profil kudeatua duen iPhone gainbegiratu batean, telefonak tunel bat mantentzen du IP interfaze aktibo bakoitzeko, beraz sare mugikorrak eta Wi-Fi-k bakoitzak berea du. Zerbitzariak gailu bakarrerako bi IKE segurtasun-elkarte zerrendatzen ditu gero, sarritan helbide birtual bat partekatuz, eta lehen bulkada rekey begizta deitzea eta tenporizadoreak aldatzen hastea da. Bulkada hori okerra izaten da normalean. Jarraitu beheko urratsak zerbitzarian frogak agertzen diren ordenan, eta utzi telefonoaren ezarpenak bakean zerbitzariak zein kasu duzun esan arte.

Hasi zerbitzariak jada dituen bi erreekin

Zerrendatu elkarteak swanctl --list-sas erabiliz eta irakurri lau eremu bi erregistroetan: urruneko helbidea, autentifikatutako identitatea, esleitutako IP birtuala eta sorrera-ordua. Identitate batekin eta IP birtual batekin bi kanpoko helbide desberdin dira galdera hau hasi zuen forma, eta merezi du edozein aldaketaren aurretik idaztea. Ondoren egiaztatu bakoitzari lotutako elkarte umeak, trafiko-hautatzaileek erabakitzen baitute helmugako bilaketa batek inoiz bi tunelak bereiz ote zitzakeen. Segundo batzuetan agertu eta desagertzen den bikotea beste animalia bat da orduak bizi diren bikotea baino.

Ordenatu zerrenda sorrera-orduaren arabera ondorio bat atera aurretik. Irteeran albokotasunak ez du ezer esan nahi, eta zerrenda taulakatua akats horretara gonbidatzen du.

Erabaki zein gainjartze ari zaren ikusten

IKEv2 rekey-ak eta make-before-break berautentifikazioak gainjartze laburra sortzen dute nahita, elkarte berria zaharra ezabatu aurretik ezarriz. Denbora-markek kasua argitzen dute, zeren berria agertu eta segundo bat edo bi geroago desagertzen den SA zaharra berritzea baita, bere lana egiten ari dena. Interfaze independenteko tunelak ez dira inoiz horrela ikusten, bakoitzak bere interfazea aktibo dagoen bitartean irauten baitu, eta bat ezabatzea ez baita bestearen sorreratik dator.

Apple-ren Always On jokabide kudeatua interfaze bakoitzekoa da, horregatik gainbegiratutako gailu bat eskuz konfiguratutako profil bat baino okupatuagoa izan daiteke zilegi. Hornitzaile baten aplikazioko konexio automatikoko etengailuak ez du gauza bera esan nahi, eta on-demand arau arruntak ere ez. Apple-ren hedapenaren ikuspegi orokorrak interfaze bakoitzeko eredua deskribatzen du; konparatu zure bi errenkadak harekin begizta bat suposatu aurretik. Bi formek zerbitzariko igerileku beretik edaten dute, beraz gainjartzea zure seinale goiztiar bakarra da.

Ikusi zergatik hausten dituen bi tunelentzako helbide birtual batek erantzunak

Telefonari erantzun bat barne-helbidera zuzentzen da, eta kernelak irteerako tunela helmugaren eta politikaren arabera hautatzen du, ez telefonak erabili zuen interfazearen arabera. IP birtual bera politika bat datozenekin eusten duten bi elkarte aldi berean uzten dute bideratze-erabakia erantzun bat zein saiori dagokion esateko modurik gabe. Erantzun batzuek tunel okerra hartzen dute, eta telefonak norabide bakarrean funtzionatzen duen edo Wi-Fi altxatzean hiltzen den konexioa erakusten du. Bi komando-irteerek egoera frogatzen dute: swanctl --list-sas bi SAetan IP birtual bera erakutsiz, eta ip xfrm policy bi hautatzaile berdin erakutsiz.

Irteera-pare hori da aldaketa-erregistroan itsasten duzuna. Bat ere ez da sinesgarria bakarrik, bakoitza bere horretan sinesgarria izan baitaiteke.

Hau zerbitzariaren aldeko helbideratzea eta politika da, ez telefonoaren jokabide okerra, eta bezeroaren ezarpen batek ere ez ditu bi barne-helbide berdin bereizten. Igerilekuak balio bera bi aldiz eman zuen eta politika-instalatzaileak onartu egin zuen. Irakurri emaitza zerbitzariaren aldetik bezeroa errudun hartu aurretik.

Aldatu igerilekua edo konkurrentzia-eredua, ez rekey tenporizadorea

swanctl konfigurazioan, bakantasuna konexioaren gaineko politika espresua da: unique = replace konexio zaharragoa kentzen du berria ezartzean, eta unique = keep berriki iritsia baztertzen du. Bi balioek konexio bat ezartzean egiten dute lan, ez haren barruko SA umeetan.

connections {
  ios-alwayson {
    unique = replace
  }
}

Balio bat ere ez da neutroa interfaze bakoitzeko bezeroarentzat. keep egoera-pantaila txukuna berrezartzen du bigarren tunela ukatu eta diseinu kudeatua hausten duen bitartean, eta replace tunel zaharragoa botatzen du eta beste norabideko konpromiso bera da. Bi tunelak benetan beharrezkoak badira, igerilekuaren backend-ak identitate bakar baterako lizingu desberdinak eman behar ditu, eta haren lizingu-gakoak eskaerak bereizi behar ditu. Identitate-helbide taula estatikoak gogoz itzuliko du helbide bera bi aldiz eta jatorrizko arazoa konfigurazio gehiagorekin erreproduzituko du. Egiaztatu backend-ak nola giltzatzen dituen lizinguak bigarren mapaketa estatiko bat gehitu aurretik.

Probatu benetan inplementatzen dituzun trantsizioak

Irten Wi-Fi irismenetik saio aktibo batekin, gero itzuli, eta egiaztatu erantzunak bi norabideetan iristen direla. Egin bi aldiz, bigarren trantsizioa baita politika zaharkitua normalean agertzen den lekua. Probatu ireki zenuen konexioan erantzuten duen zerbitzu batekin, eta errepikatu irteera tunelak trafikoa daraman bitartean, alferrik zutik egon beharrean. Bidaltzeko baina jasotzeko gai ez den telefonoa osasuntsu ikusten da handshake erregistro batean eta hautsita nabigatzailean.

Errenkada bakarrera murriztutako egoera-pantaila ez da diseinu funtzional baten froga, tunel bat joan dela frogatzea baizik. Bi norabideek funtzionatu behar dute trantsizio bat pasa aurretik. Idatzi zer ikusi duzun, gainjartze-egiaztapeneko bi irteerekin batera, hurrengo ingeniariak pasealekua errepikatu beharrean konparatu ahal izateko.