Sama IKEv2-identiteetti kahdessa iPhonessa? Ne yhdistävät vuorotellen
Kahteen laitteeseen kopioitu profiili antaa yhdelle portille yhden peerin kahden sijaan. Katso, miten peer-taulukko täyttyy ja tyhjenee, ja anna sitten arvo jokaiselle laitteelle.
Kaksi puhelinta, yksi profiili ja kuvio, joka näyttää yliluonnolliselta, kunnes joku katsoo porttia. Yksi laite pitää tunnelia, toinen yhdistää, ja ensimmäinen menettää sen sekunneissa. Ensimmäinen yhdistää uudelleen ja toinen putoaa. Akun säästöä, Wi-Fi-verkkovierailua ja operaattorin NATia syytetään, kun todellinen syy istuu tekstikentässä, joka kopioitiin kaiken muun mukana. IKEv2 tunnistaa peerin nimen perusteella, ja molemmat puhelimet esittävät saman nimen.
Identiteetti on avain, jonka alle palvelin sinut tallentaa
IKEv2-vaihdon sisällä kumpikin osapuoli ilmoittaa, kuka on: aloittaja lähettää paikallisen tunnisteen, vastaaja vastaa omallaan, ja vastaaja tarkistaa myös aloittajan väittämän identiteetin käytäntöä vasten. Portti pitää tilansa identiteetin eikä laitteen mukaan, koska laite ei ole jotain, mitä se voi nähdä. Siksi kaksi puhelinta yhdellä tunnisteella saapuvat yhtenä peerinä, ja toisen vaihdon on kirjoitettava ensimmäisen yli. Ongelma ilmenee vain, kun molemmat ovat käytössä, minkä vuoksi yhden puhelimen testi ei koskaan toista sitä.
Mikään tässä ei ole asiakkaan vika. Asiakas lähetti täsmälleen sen, mitä profiili käski sen lähettää.
Miltä törmäys näyttää portilta
Katso peer-luetteloa, kun molemmat puhelimet ovat hereillä ja käytössä. Törmäys näyttää yhden merkinnän, jonka osoite vaihtuu puhelimien vaihtuessa, eikä aktiivisten istuntojen laskuri koskaan yllä kahteen. Pyynnöstä purkaminen näyttää erilaiselta, ja niiden erottaminen vaatii yhden havainnon eikä teoriaa.
| Observation | Shared identity | Idle teardown |
|---|---|---|
| Peer entries while both are awake | One, with a changing address | One per phone, or none |
| What triggers the drop | The other device connecting | Time without traffic |
| What restores it | The other device disconnecting | Any app needing the tunnel |
Kirjaa molemmat tapahtumat aikaleimoineen, kun se tapahtuu. Katkeaminen, joka osuu yhteen toisen laitteen yhdistämisen kanssa, viittaa tunnisteeseen, ja katkeaminen, joka saapuu yhden joutokäyntijakson jälkeen viimeisestä paketista, viittaa ajastimeen.
Mistä kaksoiskappaleet tulevat
Yhden toimivan kokoonpanon vienti ja vain palvelimen osoitteen muokkaaminen tuottaa toisen tiedoston, jossa ensimmäisen tiedoston identiteetti on yhä sisällä. Se on tavallinen tie tähän vikaan, ja se tapahtuu yleensä pienen ryhmän kiireellisessä käyttöönotossa.
Kenttien nimet tekevät tämän sivuuttamisen helpoksi. Etätunniste nimeää portin, jota puhelin odottaa, ja sen kopioiminen on oikein. Paikallinen tunniste nimeää tämän laitteen portille, ja juuri sen arvon kopioiminen on koko ongelma.
Anna arvo jokaiselle laitteelle
Käytä jotain laitteelle ainutlaatuista ja koko sen elinkaaren ajan pysyvää, kuten luettelon laitetunnistetta tai arvoa, jonka hallintajärjestelmäsi luo jokaista rekisteröintiä varten. Osaston tunniste, jaetun palvelutilin nimi tai käyttäjän sähköpostiosoite törmäävät kaikki heti, kun tällä henkilöllä on toinen laite.
Luo hyötykuorma laitekohtaisesti sen sijaan, että jakaisit yhden tiedoston. Kirjaa, mikä arvo kuuluu millekin laitteelle, jotta vaihto ei palauta vanhaa profiilia ja vie uutta puhelinta suoraan samaan törmäykseen.
Tarkista myös palvelinpuoli. Portti, joka yhdistää identiteetin kiinteään tunneliosoitteeseen, voi silti törmätä, kun kaksi eri tunnistetta saa saman määrityksen, joten varmista, että poolissa on tilaa ja että määritykset eivät ole käyttäjäkohtaisesti kiinnitettyjä.
Varmista molempien puhelimien ollessa hereillä
Yhdistä ensimmäinen, saavuta yksityinen resurssi, yhdistä sitten toinen ja jätä molemmat minuutiksi joutokäyntiin. Molempien istuntojen pitäisi säilyä, ja peer-luettelon pitäisi näyttää kaksi identiteettiä. Lukitse ja avaa sitten kukin puhelin varmistaaksesi, että joutokäyntitapaus käyttäytyy edelleen oikein.
Jos yksi istunto putoaa edelleen kerran päivässä ilman, että mikään muu yhdistää, identiteetti ei ole enää epäilty. Siirry joutokäyntiajastimiin ja palvelimen istuntorajoihin sen sijaan, että muokkaisit profiilia uudelleen.