Isti IKEv2 identitet na dva iPhonea? Izmjenjuju se pri povezivanju
Jedan profil kopiran na dva uređaja daje pristupniku jednog peera umjesto dva. Gledajte kako se tablica peerova puni i prazni, pa izdajte vrijednost za svaki uređaj.
Dva telefona, jedan profil i obrazac koji izgleda nadnaravno dok netko ne pogleda pristupnik. Jedan uređaj drži tunel, drugi se povezuje, a prvi ga izgubi u roku od nekoliko sekundi. Prvi se ponovno povezuje, drugi ispada. Okrivljuju se ušteda baterije, Wi-Fi roaming i NAT operatera, dok stvarni uzrok sjedi u tekstualnom polju koje je kopirano zajedno sa svim ostalim. IKEv2 identificira peera po imenu, a oba telefona predstavljaju isto ime.
Identitet je ključ pod kojim te poslužitelj čuva
Unutar IKEv2 razmjene svaka strana izjavljuje tko je: inicijator šalje lokalni identifikator, odgovarač odgovara svojim, a ujedno provjerava identitet koji je inicijator tvrdio prema politici. Pristupnik čuva stanje po identitetu, a ne po uređaju, jer uređaj nije nešto što može vidjeti. Dva telefona s jednim identifikatorom zato dolaze kao jedan peer, a druga razmjena mora prepisati prvu. Problem se pojavljuje samo dok su oba u upotrebi, zato test s jednim telefonom to nikad ne reproducira.
Ništa od ovoga nije greška u klijentu. Klijent je poslao točno ono što mu je profil rekao da pošalje.
Kako sudar izgleda s pristupnika
Gledajte popis peerova dok su oba telefona budna i u upotrebi. Sudar pokazuje jedan zapis čija se adresa mijenja kako se telefoni izmjenjuju, a brojač aktivnih sesija nikad ne dosegne dva. Raskid na zahtjev izgleda drugačije, a razlikovanje traži jedno promatranje, a ne teoriju.
| Observation | Shared identity | Idle teardown |
|---|---|---|
| Peer entries while both are awake | One, with a changing address | One per phone, or none |
| What triggers the drop | The other device connecting | Time without traffic |
| What restores it | The other device disconnecting | Any app needing the tunnel |
Zapišite oba događaja s vremenskim oznakama dok se događa. Prekid koji se poklapa s povezivanjem drugog uređaja upućuje na identifikator, a prekid koji stigne jedan interval mirovanja nakon posljednjeg paketa upućuje na tajmer.
Odakle dolaze duplikati
Izvoz jedne radne konfiguracije i uređivanje samo adrese poslužitelja stvara drugu datoteku u kojoj je identitet prve datoteke još unutra. To je uobičajen put do ovog kvara i obično se događa pri brzom uvođenju male grupe.
Nazivi polja olakšavaju da se to propusti. Udaljeni identifikator imenuje pristupnik koji telefon očekuje, i kopirati ga je ispravno. Lokalni identifikator imenuje ovaj uređaj pristupniku, i kopiranje te vrijednosti je cijeli problem.
Izdajte vrijednost za svaki uređaj
Koristite nešto jedinstveno za uređaj i stabilno tijekom njegova života, poput identifikatora uređaja iz inventara ili vrijednosti koju vaš sustav upravljanja generira pri svakoj registraciji. Oznaka odjela, zajedničko ime servisnog računa ili korisnička e-mail adresa sudaraju se čim ta osoba dobije drugi uređaj.
Generirajte payload za svaki uređaj umjesto da distribuirate jednu datoteku. Zabilježite koja vrijednost pripada kojem uređaju, da zamjena ne obnovi stari profil i ne vrati novi telefon ravno u isti sudar.
Provjerite i stranu poslužitelja. Pristupnik koji identitet preslikava na fiksnu adresu tunela i dalje može sudariti kada dva različita identifikatora dobiju istu dodjelu, zato potvrdite da pool ima mjesta i da dodjele nisu prikvačene po korisniku.
Provjerite s oba telefona budna
Povežite prvi, dođite do privatnog resursa, zatim povežite drugi i ostavite oba u mirovanju minutu. Obje sesije trebaju opstati, a popis peerova treba pokazati dva identiteta. Zatim zaključajte i otključajte svaki telefon da potvrdite da slučaj mirovanja još funkcionira.
Ako jedna sesija i dalje pada jednom dnevno bez ikakvog drugog povezivanja, identitet više nije osumnjičeni. Prijeđite na tajmere mirovanja i ograničenja sesija poslužitelja umjesto da ponovno uređujete profil.