Identitas IKEv2 yang sama di dua iPhone? Keduanya bergantian terhubung

Dua ponsel, satu profil, dan pola yang tampak supranatural sampai seseorang melihat gateway. Satu perangkat memegang tunnel, perangkat kedua terhubung, dan yang pertama kehilangannya dalam hitungan detik. Yang pertama tersambung lagi dan yang kedua terputus. Penghematan baterai, roaming Wi-Fi, dan NAT operator semuanya disalahkan, sementara penyebab sebenarnya ada di kolom teks yang ikut tersalin bersama semua hal lain. IKEv2 mengenali peer dari sebuah nama, dan kedua ponsel menampilkan nama yang sama.

Identitas adalah kunci tempat server menyimpan Anda

Di dalam pertukaran IKEv2 setiap pihak menyatakan siapa dirinya: inisiator mengirim pengenal lokal, responder menjawab dengan pengenalnya sendiri, dan responder juga memeriksa identitas yang diklaim inisiator terhadap kebijakan. Gateway menyimpan statusnya per identitas, bukan per perangkat, karena perangkat bukan sesuatu yang bisa dilihatnya. Dua ponsel dengan satu pengenal karena itu datang sebagai satu peer, dan pertukaran kedua harus menimpa yang pertama. Masalahnya hanya muncul saat keduanya dipakai, itulah sebabnya uji dengan satu ponsel tidak pernah mereproduksinya.

Tidak ada satu pun dari ini yang merupakan bug di klien. Klien mengirim persis apa yang diperintahkan profil.

Seperti apa tumbukan itu dari gateway

Amati daftar peer saat kedua ponsel bangun dan sedang dipakai. Tumbukan memperlihatkan satu entri yang alamatnya berubah saat ponsel bergantian, sementara penghitung sesi aktif tidak pernah mencapai dua. Pembongkaran sesuai permintaan terlihat berbeda, dan membedakannya butuh satu pengamatan, bukan teori.

Catat kedua peristiwa dengan stempel waktu saat itu terjadi. Putus yang bertepatan dengan tersambungnya perangkat lain menunjuk ke pengenal, dan putus yang datang satu interval diam setelah paket terakhir menunjuk ke pengatur waktu.

Dari mana duplikatnya berasal

Mengekspor satu konfigurasi yang berfungsi dan hanya mengubah alamat server menghasilkan file kedua yang masih memuat identitas file pertama. Itu jalur biasa menuju kegagalan ini, dan biasanya terjadi saat memperkenalkan kelompok kecil dengan tergesa-gesa.

Nama kolomnya membuat ini mudah terlewat. Pengenal jarak jauh menamai gateway yang diharapkan ponsel, dan menyalinnya itu benar. Pengenal lokal menamai ponsel ini di hadapan gateway, dan menyalin nilai itulah seluruh masalahnya.

Terbitkan satu nilai per perangkat

Gunakan sesuatu yang unik untuk ponsel dan stabil sepanjang masa pakainya, seperti pengenal perangkat dari inventaris atau nilai yang dihasilkan sistem manajemen Anda untuk setiap pendaftaran. Label departemen, nama akun layanan bersama, atau alamat email pengguna semuanya bertumbukan begitu orang itu punya perangkat kedua.

Hasilkan muatan per perangkat alih-alih membagikan satu file. Catat nilai mana milik ponsel mana, supaya penggantian tidak memulihkan profil lama dan menjatuhkan ponsel baru langsung ke tumbukan yang sama.

Periksa juga sisi server. Gateway yang memetakan identitas ke alamat tunnel tetap bisa bertumbukan saat dua pengenal berbeda menerima penetapan yang sama, jadi pastikan kumpulannya punya ruang dan penetapannya tidak dipatok per pengguna.

Verifikasi dengan kedua ponsel bangun

Hubungkan yang pertama, capai sumber daya privat, lalu hubungkan yang kedua dan biarkan keduanya diam selama satu menit. Kedua sesi harus bertahan dan daftar peer harus menunjukkan dua identitas. Lalu kunci dan buka kunci tiap ponsel untuk memastikan kasus diam masih berperilaku benar.

Jika satu sesi tetap putus sekali sehari tanpa ada yang lain terhubung, identitas bukan lagi tersangkanya. Beralihlah ke pengatur waktu diam dan batas sesi server alih-alih menyunting profil lagi.