iPhone Always On VPN: екі туннель бір виртуалды IP-ны бөлісе алады

Әр интерфейске арналған Always On туннельдері сәтсіз rekey емес. Сервердегі екі SA-ны салыстырыңыз, содан кейін бір сәйкестіктің екі ішкі мекенжайды ұстай алатынын шешіңіз.

Басқарылатын Always On профилі бар қадағалаудағы iPhone-да телефон әр белсенді IP интерфейсі үшін туннель ұстайды, сондықтан ұялы желі мен Wi-Fi әрқайсысы өзінікін алады. Содан кейін сервер бір құрылғы үшін екі IKE қауіпсіздік ассоциациясын тізіп шығарады, көбінесе бір виртуалды мекенжайды бөліседі, ал бірінші түйсік мұны rekey циклі деп атап, таймерлерді өзгерте бастау. Бұл түйсік әдетте қате. Төмендегі қадамдарды дәлелдер серверде пайда болатын ретпен орындаңыз және сервер қай жағдайда екеніңізді айтпайынша телефон параметрлеріне тиіспеңіз.

Серверде әлдеқашан бар екі жолдан бастаңыз

Ассоциацияларды swanctl --list-sas арқылы тізіп, екі жазбада төрт өрісті оқыңыз: қашықтағы мекенжай, аутентификацияланған сәйкестік, берілген виртуалды IP және құрылған уақыт. Бір сәйкестік пен бір виртуалды IP-мен екі түрлі сыртқы мекенжай осы сұрақты бастаған пішін және кез келген өзгеріске дейін оны жазып қоюға тұрарлық. Содан кейін әрқайсысына қосылған бала ассоциацияларды тексеріңіз, өйткені трафик селекторлары мақсатты іздеу екі туннельді ешқашан ажырата алатынын анықтайды. Секундтар ішінде пайда болып жоғалатын жұп сағаттар бойы өмір сүретін жұптан басқа хайуан.

Қорытынды жасамас бұрын тізімді құрылған уақыт бойынша сұрыптаңыз. Шығыстағы көршілестік ештеңені білдірмейді, ал кесте түріндегі тізім дәл осы қатеге шақырады.

Қай қабаттасуды көріп отырғаныңызды анықтаңыз

IKEv2 rekey және make-before-break қайта аутентификациялау әдейі қысқа қабаттасу жасайды, жаңа ассоциацияны ескіні жоймас бұрын орнатады. Уақыт белгілері мәселені шешеді, өйткені жаңасы пайда болғаннан кейін бір-екі секундтан кейін жоғалатын ескі SA өз жұмысын атқарып жатқан жаңарту. Тәуелсіз интерфейстік туннельдер ешқашан олай көрінбейді, өйткені әрқайсысы өз интерфейсі қосулы тұрғанша сақталады, ал біреуін жою екіншісін жасаудан туындамайды.

Apple-дың басқарылатын Always On әрекеті интерфейс бойынша, сондықтан қадағалаудағы құрылғы қолмен бапталған профильден заңды түрде бос емес көрінуі мүмкін. Провайдер қолданбасының автоматты қосылу қосқышы бірдей нәрсені білдірмейді, қарапайым on-demand ережесі де білдірмейді. Apple-дың орналастыру шолуы интерфейс бойынша модельді сипаттайды; цикл деп есептемес бұрын екі жолыңызды онымен салыстырыңыз. Екі пішін де бір серверлік пулдан алады, сондықтан қабаттасу сіздің жалғыз ерте сигналыңыз.

Неге бір виртуалды мекенжай екі туннельге жауаптарды бұзатынын қараңыз

Телефонға жауап ішкі мекенжайға адрестеледі, ал ядро шығыс туннельді тағайындау және саясат бойынша таңдайды, телефон қолданған интерфейс бойынша емес. Бірдей виртуалды IP-ны ұстайтын және саясаттары сәйкес келетін екі қатарлас ассоциация маршруттау шешімін жауаптың қай сессияға тиесілі екенін айту жолынсыз қалдырады. Кейбір жауаптар қате туннельге түседі, ал телефон бір бағытта жұмыс істейтін немесе Wi-Fi көтерілгенде өлетін қосылымды көрсетеді. Екі команда шығысы күйді дәлелдейді: swanctl --list-sas екі SA-да бірдей виртуалды IP-ны көрсетеді, ал ip xfrm policy екі бірдей селекторды көрсетеді.

Дәл осы шығыс жұбын өзгеріс жазбасына қоясыз. Ешқайсысы жалғыз өзі сенімді емес, өйткені әрқайсысы жеке-жеке сенімді көрінуі мүмкін.

Бұл сервер жағындағы адрестеу мен саясат, телефонның дұрыс емес әрекеті емес, және ешбір клиент параметрі екі бірдей ішкі мекенжайды бөлмейді. Пул бір мәнді екі рет берді және саясат орнатушысы оны қабылдады. Клиентті кінәламас бұрын нәтижені сервер жағынан оқыңыз.

Пулды немесе параллельдік моделін өзгертіңіз, rekey таймерін емес

swanctl конфигурациясында бірегейлік қосылымдағы айқын саясат: unique = replace жаңасы орнағанда ескі қосылымды жояды, ал unique = keep жаңадан келгенді қабылдамайды. Екі мән де қосылым орнатылғанда әрекет етеді, оның ішіндегі бала SA-ларға емес.

connections {
  ios-alwayson {
    unique = replace
  }
}

Ешбір мән интерфейс бойынша клиент үшін бейтарап емес. keep екінші туннельден бас тартып, жинақы күй экранын қалпына келтіреді және басқарылатын дизайнды бұзады, ал replace ескі туннельді құлатып, қарсы бағыттағы сол келісім болады. Егер екі туннель шынымен қажет болса, пулдың бэкенді бір сәйкестік үшін бөлек жалдаулар беруі керек, ал оның жалдау кілті сұраныстарды ажыратуы тиіс. Статикалық сәйкестік-мекенжай кестесі бір мекенжайды екі рет қайтарып, бастапқы мәселені көбірек конфигурациямен қайталайды. Екінші статикалық картаны қоспас бұрын бэкенд жалдауларды қалай кілттейтінін тексеріңіз.

Іс жүзінде шығаратын ауысуларды сынаңыз

Белсенді сессиямен Wi-Fi ауқымынан шығып, содан кейін қайта кіріп, жауаптардың екі бағытта да келетінін тексеріңіз. Мұны екі рет жасаңыз, өйткені ескірген саясат әдетте екінші ауысуда пайда болады. Ашқан қосылымыңызға жауап беретін қызметпен сынап көріңіз және туннель бос тұрмай, трафик тасымалдап жатқанда шығуды қайталаңыз. Жібере алатын, бірақ қабылдай алмайтын телефон қол алысу журналында сау, ал браузерде бүлінген көрінеді.

Бір жолға қысқартылған күй экраны жұмыс істейтін дизайнның дәлелі емес, тек бір туннельдің кеткенінің дәлелі. Ауысу өтуі үшін екі бағыт та жұмыс істеуі керек. Не байқағаныңызды қабаттасуды тексерудің екі шығысымен бірге жазып қойыңыз, сонда келесі инженер серуенді қайталамай, салыстыра алады.

Қатысты мақалалар