იგივე IKEv2 იდენტობა ორ iPhone-ზე? რიგრიგობით უკავშირდებიან
ორ მოწყობილობაზე დაკოპირებული ერთი პროფილი კარიბჭეს აძლევს ერთ peer-ს ორის ნაცვლად. დააკვირდით, როგორ ივსება და ცარიელდება peer ცხრილი, შემდეგ გასცენ მნიშვნელობა თითოეულ მოწყობილობას.
ორი ტელეფონი, ერთი პროფილი და ნიმუში, რომელიც ზებუნებრივად გამოიყურება, სანამ ვინმე კარიბჭეს არ შეხედავს. ერთი მოწყობილობა ინახავს გვირაბს, მეორე უკავშირდება და პირველი რამდენიმე წამში კარგავს მას. პირველი ხელახლა უკავშირდება და მეორე ვარდება. ენერგიის დაზოგვას, Wi-Fi როუმინგს და ოპერატორის NAT-ს ადანაშაულებენ, ხოლო ნამდვილი მიზეზი ტექსტურ ველში ზის, რომელიც დანარჩენ ყველაფერთან ერთად დაკოპირდა. IKEv2 peer-ს სახელით იდენტიფიცირებს და ორივე ტელეფონი ერთსა და იმავე სახელს წარადგენს.
იდენტობა არის გასაღები, რომლის ქვეშაც სერვერი გინახავს
IKEv2 გაცვლის შიგნით თითოეული მხარე აცხადებს, ვინ არის: ინიციატორი აგზავნის ლოკალურ იდენტიფიკატორს, პასუხისმგებელი პასუხობს საკუთარით და ასევე ამოწმებს ინიციატორის მიერ გამოცხადებულ იდენტობას პოლიტიკის მიხედვით. კარიბჭე თავის მდგომარეობას იდენტობის მიხედვით ინახავს და არა მოწყობილობის, რადგან მოწყობილობა ის არ არის, რაც მას შეუძლია დაინახოს. ამიტომ ერთი იდენტიფიკატორის მქონე ორი ტელეფონი ერთ peer-ად მოდის და მეორე გაცვლამ პირველი უნდა გადაწეროს. პრობლემა მხოლოდ მაშინ ჩნდება, როცა ორივე გამოიყენება, ამიტომ ერთი ტელეფონით ტესტი მას არასოდეს ამრავლებს.
ამაში არაფერია კლიენტის ხარვეზი. კლიენტმა ზუსტად ის გაგზავნა, რაც პროფილმა უთხრა.
როგორ გამოიყურება შეჯახება კარიბჭიდან
შეხედეთ peer სიას, სანამ ორივე ტელეფონი გამოფხიზლებული და გამოყენებაშია. შეჯახება აჩვენებს ერთ ჩანაწერს, რომლის მისამართიც იცვლება ტელეფონების მონაცვლეობით, ხოლო აქტიური სესიების მრიცხველი არასოდეს აღწევს ორს. მოთხოვნით გაწყვეტა სხვანაირად გამოიყურება და მათი გარჩევა ერთ დაკვირვებას მოითხოვს და არა თეორიას.
| Observation | Shared identity | Idle teardown |
|---|---|---|
| Peer entries while both are awake | One, with a changing address | One per phone, or none |
| What triggers the drop | The other device connecting | Time without traffic |
| What restores it | The other device disconnecting | Any app needing the tunnel |
ჩაწერეთ ორივე მოვლენა დროის ნიშნებით, სანამ ეს ხდება. გაწყვეტა, რომელიც ემთხვევა მეორე აპარატის დაკავშირებას, იდენტიფიკატორზე მიუთითებს, ხოლო ბოლო პაკეტიდან ერთი უმოქმედო ინტერვალის შემდეგ მოსული გაწყვეტა — ტაიმერზე.
საიდან მოდის დუბლიკატები
ერთი მუშა კონფიგურაციის ექსპორტი და მხოლოდ სერვერის მისამართის რედაქტირება ქმნის მეორე ფაილს, რომელშიც ჯერ კიდევ პირველი ფაილის იდენტობაა. ეს ამ წარუმატებლობის ჩვეულებრივი გზაა და ჩვეულებრივ ხდება პატარა ჯგუფის ნაჩქარევი ჩართვისას.
ველების სახელები აადვილებს ამის გამოტოვებას. დისტანციური იდენტიფიკატორი ასახელებს კარიბჭეს, რომელსაც ტელეფონი ელოდება, და მისი კოპირება სწორია. ლოკალური იდენტიფიკატორი ამ მოწყობილობას ასახელებს კარიბჭის წინაშე, და ამ მნიშვნელობის კოპირება მთელი პრობლემაა.
გასცენ მნიშვნელობა თითოეულ მოწყობილობას
გამოიყენეთ რაღაც უნიკალური აპარატისთვის და სტაბილური მთელი მისი სიცოცხლის განმავლობაში, მაგალითად ინვენტარიდან მოწყობილობის იდენტიფიკატორი ან მნიშვნელობა, რომელსაც თქვენი მართვის სისტემა ყოველი რეგისტრაციისთვის ქმნის. დეპარტამენტის ეტიკეტი, საერთო სერვისის ანგარიშის სახელი ან მომხმარებლის ელფოსტა ყველა ეჯახება იმ წუთას, როცა ამ ადამიანს მეორე მოწყობილობა აქვს.
შექმენით დატვირთვა თითოეული მოწყობილობისთვის ერთი ფაილის გავრცელების ნაცვლად. ჩაწერეთ, რომელი მნიშვნელობა ეკუთვნის რომელ აპარატს, რათა ჩანაცვლებამ არ აღადგინოს ძველი პროფილი და ახალი ტელეფონი პირდაპირ იმავე შეჯახებაში არ ჩააგდოს.
შეამოწმეთ სერვერის მხარეც. კარიბჭე, რომელიც იდენტობას ფიქსირებულ გვირაბის მისამართზე ასახავს, მაინც შეიძლება დაეჯახოს, როცა ორი სხვადასხვა იდენტიფიკატორი ერთსა და იმავე მინიჭებას იღებს, ამიტომ დაადასტურეთ, რომ აუზს ადგილი აქვს და მინიჭებები მომხმარებელზე არ არის მიმაგრებული.
გადაამოწმეთ ორივე ტელეფონის გამოფხიზლებულ მდგომარეობაში
დააკავშირეთ პირველი, მიაღწიეთ პირად რესურსს, შემდეგ დააკავშირეთ მეორე და ორივე ერთი წუთით უმოქმედოდ დატოვეთ. ორივე სესია უნდა შენარჩუნდეს და peer სიამ ორი იდენტობა უნდა აჩვენოს. შემდეგ დაბლოკეთ და განბლოკეთ თითოეული ტელეფონი, რათა დარწმუნდეთ, რომ უმოქმედო შემთხვევა კვლავ სწორად იქცევა.
თუ ერთი სესია კვლავ დღეში ერთხელ ვარდება და სხვა არაფერი უკავშირდება, იდენტობა აღარ არის ეჭვმიტანილი. გადადით უმოქმედობის ტაიმერებსა და სერვერის სესიის ლიმიტებზე, პროფილის კიდევ ერთხელ რედაქტირების ნაცვლად.