iPhone Always On VPN: tvær göng geta deilt einu sýndar-IP

Always On-göng á hverju viðmóti eru ekki misheppnuð rekey. Berið saman SA-in tvö á þjóninum og ákveðið síðan hvort ein sjálfsmynd megi halda tveimur innri vistföngum.

Á eftirlitsskyldum iPhone með stýrðu Always On-sniði heldur síminn gangi fyrir hvert virkt IP-viðmót, svo farsímanet og Wi-Fi fá hvort sitt. Þjónninn listar þá tvær IKE-öryggistengingar fyrir eitt tæki, oft deilandi einu sýndarvistfangi, og fyrsta hvatningin er að kalla það rekey-lykkju og byrja að breyta tímateljurum. Sú hvatning er venjulega röng. Farið í gegnum skrefin hér að neðan í þeirri röð sem sönnunargögnin birtast á þjóninum, og látið stillingar símans í friði þar til þjónninn segir ykkur hvaða tilvik þið eruð í.

Byrjið á þeim tveimur línum sem þjónninn hefur þegar

Listið tengingarnar með swanctl --list-sas og lesið fjögur svið í báðum færslum: fjarvistfangið, auðkennda sjálfsmyndina, úthlutað sýndar-IP og stofntímann. Tvö ólík ytri vistföng með einni sjálfsmynd og einu sýndar-IP er formið sem byrjaði þessa spurningu, og það er þess virði að skrifa það niður fyrir hverja breytingu. Athugið síðan barnatengingarnar sem tengjast hvorri þeirra, því umferðarvalarnir ákveða hvort áfangastaðaleit gæti nokkurn tíma greint göngin tvö í sundur. Par sem birtist og hverfur á sekúndum er annað dýr en par sem bæði lifa í klukkustundir.

Raðið listanum eftir stofntíma áður en þið dragið ályktun. Nálægð í úttakinu þýðir ekkert, og töflusniðmát býður nákvæmlega upp á þá villu.

Ákveðið hvaða skörun þið eruð að skoða

IKEv2-rekey og make-before-break-endurauðkenning búa viljandi til stutta skörun, með því að koma nýju tengingunni á fót áður en sú gamla er eytt. Tímastimplar ráða úrslitum, því gömul SA sem hverfur sekúndu eða tveimur eftir að nýja birtist er endurnýjun sem sinnir sínu starfi. Sjálfstæð viðmótsgöng líta aldrei þannig út, þar sem hvert þeirra varir á meðan viðmót þess er uppi, og eyðing annars leiðir ekki af stofnun hins.

Stýrð Always On-hegðun Apple er á hverju viðmóti, þess vegna getur eftirlitsskylt tæki löglega litið uppteknara út en snið sem stillt er handvirkt. Sjálfvirkur tengihnappur veitandaforrits þýðir ekki það sama, og venjuleg on-demand-regla heldur ekki. Yfirlit Apple um útbreiðslu lýsir líkaninu á hverju viðmóti; berið línurnar tvær saman við það áður en þið gerið ráð fyrir lykkju. Bæði formin sækja líka í sama þjónabak og skörunin er eina snemma merkið ykkar.

Sjáið hvers vegna eitt sýndarvistfang fyrir tvö göng brýtur svör

Svar til símans er stílað á innra vistfangið, og kjarninn velur útgangsgang eftir áfangastað og stefnu, ekki eftir því viðmóti sem síminn notaði. Tvær samtímis tengingar sem halda sama sýndar-IP með samhljóða stefnum skilja leiðarákvörðunina eftir án leiðar til að segja hvaða lotu svar tilheyrir. Sum svör taka rangan gang, og síminn sýnir tengingu sem virkar aðra leiðina eða deyr þegar Wi-Fi kemur upp. Tvö skipanaúttök sanna ástandið: swanctl --list-sas sýnir sama sýndar-IP á báðum SA, og ip xfrm policy sýnir tvo eins vala.

Einmitt þetta úttakspar setjið þið í breytingaskrána. Hvort tveggja eitt og sér er ekki sannfærandi, því hvort um sig getur litið trúverðugt út eitt og sér.

Þetta er vistföngun og stefna á þjónahlið, ekki mishegðun símans, og engin biðlalastilling aðskilur tvö eins innri vistföng. Bakkið gaf sama gildið tvisvar og stefnuuppsetningin samþykkti það. Lesið niðurstöðuna frá þjónahlið áður en þið kennið biðlanum um.

Breyta bakkanum eða samhliða líkaninu, ekki rekey-tímateljaranum

Í swanctl-stillingu er einstakt einkvæm stefna á tengingunni: unique = replace fjarlægir eldri tengingu þegar ný er komin á fót, og unique = keep hafnar nýkomnum. Bæði gildin virka þegar tenging er sett upp, ekki á barnatengingarnar inni í henni.

connections {
  ios-alwayson {
    unique = replace
  }
}

Ekkert gildanna er hlutlaust fyrir biðla á hverju viðmóti. keep endurheimtir snyrtilegan stöðuskjá með því að hafna öðru ganginu og brýtur stýrða hönnunina, á meðan replace rífur eldra gangið niður og er sama málamiðlunin í hina áttina. Ef virkilega er þörf á báðum göngunum verður bakendi bakkans að gefa út aðskilin leigur fyrir eina sjálfsmynd, og leigulykill hans verður að greina beiðnirnar í sundur. Statísk sjálfsmynd-fyrir-vistfang tafla skilar gjarnan sama vistfanginu tvisvar og endurtekur upprunalega vandamálið með meiri stillingu. Athugið hvernig bakendinn lyklar leigur áður en þið bætið við annarri statískri vörpun.

Prófið umskiptin sem þið setjið raunverulega í notkun

Gangið út fyrir Wi-Fi-drægi með virka lotu, gangið síðan inn aftur, og athugið að svör berist í báðar áttir. Gerið það tvisvar, því í seinni umskiptunum birtist úrelt stefna venjulega. Prófið með þjónustu sem svarar á tengingunni sem þið opnuðuð, og endurtakið útganginn á meðan gangið ber umferð í stað þess að standa aðgerðarlaust. Sími sem getur sent en ekki móttekið lítur heilbrigður út í handshake-skrá og brotinn í vafra.

Stöðuskjár sem minnkaður er í eina línu er ekki sönnun um virka hönnun, aðeins sönnun um að eitt gang er farið. Báðar áttir verða að virka áður en umskipti standast. Skrifið niður það sem þið sáu, ásamt tveimur úttökum skörunarprófsins, svo næsti verkfræðingur geti borið saman í stað þess að endurtaka gönguna.

Tengdir greinar