iPhone Always On VPN: ಎರಡು ಸುರಂಗಗಳು ಒಂದು ವರ್ಚುವಲ್ IP ಹಂಚಿಕೊಳ್ಳಬಹುದು

ನಿರ್ವಹಿತ Always On ಪ್ರೊಫೈಲ್ ಇರುವ ಮೇಲ್ವಿಚಾರಣೆಯ iPhone ನಲ್ಲಿ, ಫೋನ್ ಪ್ರತಿ ಸಕ್ರಿಯ IP ಇಂಟರ್ಫೇಸ್ಗೆ ಸುರಂಗವನ್ನು ಇಟ್ಟುಕೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದ ಸೆಲ್ಯುಲಾರ್ ಮತ್ತು Wi-Fi ಪ್ರತಿಯೊಂದೂ ತಮ್ಮದನ್ನು ಪಡೆಯುತ್ತವೆ. ನಂತರ ಸರ್ವರ್ ಒಂದು ಸಾಧನಕ್ಕೆ ಎರಡು IKE ಭದ್ರತಾ ಸಂಘಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ, ಹೆಚ್ಚಾಗಿ ಒಂದು ವರ್ಚುವಲ್ ವಿಳಾಸವನ್ನು ಹಂಚಿಕೊಳ್ಳುತ್ತದೆ, ಮತ್ತು ಮೊದಲ ಪ್ರವೃತ್ತಿ ಅದನ್ನು rekey ಲೂಪ್ ಎಂದು ಕರೆದು ಟೈಮರ್ಗಳನ್ನು ಬದಲಾಯಿಸಲು ಪ್ರಾರಂಭಿಸುವುದು. ಆ ಪ್ರವೃತ್ತಿ ಸಾಮಾನ್ಯವಾಗಿ ತಪ್ಪು. ಕೆಳಗಿನ ಹಂತಗಳನ್ನು ಸರ್ವರ್ನಲ್ಲಿ ಸಾಕ್ಷ್ಯಗಳು ಕಾಣಿಸಿಕೊಳ್ಳುವ ಕ್ರಮದಲ್ಲಿ ಮಾಡಿ, ಮತ್ತು ಸರ್ವರ್ ನಿಮ್ಮ ಯಾವ ಸಂದರ್ಭ ಎಂದು ಹೇಳುವವರೆಗೆ ಫೋನ್ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಬಿಡಿ.

ಸರ್ವರ್ ಈಗಾಗಲೇ ಹೊಂದಿರುವ ಎರಡು ಸಾಲುಗಳಿಂದ ಪ್ರಾರಂಭಿಸಿ

ಸಂಘಗಳನ್ನು swanctl --list-sas ನಿಂದ ಪಟ್ಟಿ ಮಾಡಿ ಮತ್ತು ಎರಡೂ ನಮೂದುಗಳಲ್ಲಿ ನಾಲ್ಕು ಕ್ಷೇತ್ರಗಳನ್ನು ಓದಿ: ದೂರದ ವಿಳಾಸ, ದೃಢೀಕರಿಸಿದ ಗುರುತು, ನಿಗದಿಪಡಿಸಿದ ವರ್ಚುವಲ್ IP ಮತ್ತು ರಚನೆಯ ಸಮಯ. ಒಂದು ಗುರುತು ಮತ್ತು ಒಂದು ವರ್ಚುವಲ್ IP ಯೊಂದಿಗೆ ಎರಡು ವಿಭಿನ್ನ ಬಾಹ್ಯ ವಿಳಾಸಗಳು ಈ ಪ್ರಶ್ನೆಯನ್ನು ಪ್ರಾರಂಭಿಸಿದ ಆಕಾರ, ಮತ್ತು ಯಾವುದೇ ಬದಲಾವಣೆಗೆ ಮೊದಲು ಅದನ್ನು ಬರೆದಿಡುವುದು ಯೋಗ್ಯ. ನಂತರ ಪ್ರತಿಯೊಂದಕ್ಕೂ ಜೋಡಿಸಲಾದ ಮಗು ಸಂಘಗಳನ್ನು ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಸಂಚಾರ ಆಯ್ಕೆದಾರರು ಗಮ್ಯಸ್ಥಾನದ ಹುಡುಕಾಟ ಎರಡು ಸುರಂಗಗಳನ್ನು ಎಂದಾದರೂ ಪ್ರತ್ಯೇಕಿಸಬಹುದೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತಾರೆ. ಸೆಕೆಂಡುಗಳಲ್ಲಿ ಕಾಣಿಸಿಕೊಂಡು ಮಾಯವಾಗುವ ಜೋಡಿ ಗಂಟೆಗಳ ಕಾಲ ಬದುಕುವ ಜೋಡಿಗಿಂತ ಬೇರೆ ಪ್ರಾಣಿ.

ತೀರ್ಮಾನಕ್ಕೆ ಬರುವ ಮೊದಲು ಪಟ್ಟಿಯನ್ನು ರಚನೆಯ ಸಮಯದ ಪ್ರಕಾರ ವಿಂಗಡಿಸಿ. ಔಟ್ಪುಟ್ನಲ್ಲಿ ಪಕ್ಕಪಕ್ಕದಿರುವಿಕೆ ಏನನ್ನೂ ಅರ್ಥೈಸುವುದಿಲ್ಲ, ಮತ್ತು ಕೋಷ್ಟಕ ರೂಪದ ಪಟ್ಟಿ ನಿಖರವಾಗಿ ಆ ತಪ್ಪಿಗೆ ಆಹ್ವಾನಿಸುತ್ತದೆ.

ನೀವು ಯಾವ ಅತಿಕ್ರಮಣವನ್ನು ನೋಡುತ್ತಿದ್ದೀರಿ ಎಂದು ನಿರ್ಧರಿಸಿ

IKEv2 rekey ಮತ್ತು make-before-break ಮರುದೃಢೀಕರಣ ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಸಣ್ಣ ಅತಿಕ್ರಮಣವನ್ನು ಸೃಷ್ಟಿಸುತ್ತವೆ, ಹಳೆಯದನ್ನು ಅಳಿಸುವ ಮೊದಲು ಹೊಸ ಸಂಘವನ್ನು ಸ್ಥಾಪಿಸಿ. ಸಮಯದ ಮುದ್ರೆಗಳು ಪ್ರಕರಣವನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ, ಏಕೆಂದರೆ ಹೊಸದು ಕಾಣಿಸಿಕೊಂಡ ಒಂದೆರಡು ಸೆಕೆಂಡುಗಳ ನಂತರ ಮಾಯವಾಗುವ ಹಳೆಯ SA ತನ್ನ ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ನವೀಕರಣ. ಸ್ವತಂತ್ರ ಇಂಟರ್ಫೇಸ್ ಸುರಂಗಗಳು ಎಂದಿಗೂ ಹಾಗೆ ಕಾಣುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಪ್ರತಿಯೊಂದೂ ತನ್ನ ಇಂಟರ್ಫೇಸ್ ಆನ್ ಇರುವವರೆಗೆ ಉಳಿಯುತ್ತದೆ, ಮತ್ತು ಒಂದನ್ನು ಅಳಿಸುವುದು ಇನ್ನೊಂದನ್ನು ರಚಿಸುವುದರಿಂದ ಬರುವುದಿಲ್ಲ.

Apple ನ ನಿರ್ವಹಿತ Always On ನಡವಳಿಕೆ ಪ್ರತಿ ಇಂಟರ್ಫೇಸ್ಗೆ, ಆದ್ದರಿಂದ ಮೇಲ್ವಿಚಾರಣೆಯ ಸಾಧನವು ಕೈಯಿಂದ ಸಿದ್ಧಪಡಿಸಿದ ಪ್ರೊಫೈಲ್ಗಿಂತ ಕಾನೂನುಬದ್ಧವಾಗಿ ಕಾರ್ಯನಿರತವಾಗಿ ಕಾಣಬಹುದು. ಪೂರೈಕೆದಾರ ಅಪ್ಲಿಕೇಶನ್ನ ಸ್ವಯಂ-ಸಂಪರ್ಕ ಟಾಗಲ್ ಅದೇ ವಿಷಯವನ್ನು ಸೂಚಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಸಾಮಾನ್ಯ on-demand ನಿಯಮವೂ ಇಲ್ಲ. Apple ನ ನಿಯೋಜನೆ ಅವಲೋಕನ ಪ್ರತಿ ಇಂಟರ್ಫೇಸ್ ಮಾದರಿಯನ್ನು ವಿವರಿಸುತ್ತದೆ; ಲೂಪ್ ಎಂದು ಊಹಿಸುವ ಮೊದಲು ನಿಮ್ಮ ಎರಡು ಸಾಲುಗಳನ್ನು ಅದರೊಂದಿಗೆ ಹೋಲಿಸಿ. ಎರಡೂ ಆಕಾರಗಳು ಒಂದೇ ಸರ್ವರ್ ಪೂಲ್ನಿಂದ ಪಡೆಯುತ್ತವೆ, ಆದ್ದರಿಂದ ಅತಿಕ್ರಮಣ ನಿಮ್ಮ ಏಕೈಕ ಆರಂಭಿಕ ಸಂಕೇತ.

ಒಂದು ವರ್ಚುವಲ್ ವಿಳಾಸ ಎರಡು ಸುರಂಗಗಳಿಗೆ ಉತ್ತರಗಳನ್ನು ಏಕೆ ಮುರಿಯುತ್ತದೆ ಎಂದು ನೋಡಿ

ಫೋನ್ಗೆ ಉತ್ತರವು ಆಂತರಿಕ ವಿಳಾಸಕ್ಕೆ ಉದ್ದೇಶಿಸಲ್ಪಡುತ್ತದೆ, ಮತ್ತು ಕರ್ನಲ್ ಗಮ್ಯಸ್ಥಾನ ಮತ್ತು ನೀತಿಯ ಪ್ರಕಾರ ಹೊರಹೋಗುವ ಸುರಂಗವನ್ನು ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ, ಫೋನ್ ಬಳಸಿದ ಇಂಟರ್ಫೇಸ್ ಪ್ರಕಾರವಲ್ಲ. ಒಂದೇ ವರ್ಚುವಲ್ IP ಮತ್ತು ಹೊಂದಿಕೆಯಾಗುವ ನೀತಿಗಳನ್ನು ಹೊಂದಿರುವ ಎರಡು ಏಕಕಾಲಿಕ ಸಂಘಗಳು ಉತ್ತರವು ಯಾವ ಅಧಿವೇಶನಕ್ಕೆ ಸೇರಿದೆ ಎಂದು ಹೇಳುವ ದಾರಿಯಿಲ್ಲದೆ ರೂಟಿಂಗ್ ನಿರ್ಧಾರವನ್ನು ಬಿಡುತ್ತವೆ. ಕೆಲವು ಉತ್ತರಗಳು ತಪ್ಪು ಸುರಂಗವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತವೆ, ಮತ್ತು ಫೋನ್ ಒಂದು ದಿಕ್ಕಿನಲ್ಲಿ ಕೆಲಸ ಮಾಡುವ ಅಥವಾ Wi-Fi ಮೇಲಕ್ಕೆ ಬಂದಾಗ ಸಾಯುವ ಸಂಪರ್ಕವನ್ನು ತೋರಿಸುತ್ತದೆ. ಎರಡು ಆಜ್ಞೆಗಳ ಔಟ್ಪುಟ್ ಸ್ಥಿತಿಯನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತವೆ: swanctl --list-sas ಎರಡೂ SA ನಲ್ಲಿ ಒಂದೇ ವರ್ಚುವಲ್ IP ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ip xfrm policy ಎರಡು ಒಂದೇ ರೀತಿಯ ಆಯ್ಕೆದಾರರನ್ನು ತೋರಿಸುತ್ತದೆ.

ಅದೇ ಔಟ್ಪುಟ್ ಜೋಡಿಯನ್ನು ನೀವು ಬದಲಾವಣೆ ದಾಖಲೆಗೆ ಅಂಟಿಸುತ್ತೀರಿ. ಯಾವುದೂ ಒಂಟಿಯಾಗಿ ಮನವೊಲಿಸುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಪ್ರತಿಯೊಂದೂ ಪ್ರತ್ಯೇಕವಾಗಿ ನಂಬಲರ್ಹವಾಗಿ ಕಾಣಬಹುದು.

ಇದು ಸರ್ವರ್ ಬದಿಯ ವಿಳಾಸ ಮತ್ತು ನೀತಿ, ಫೋನ್ನ ತಪ್ಪು ನಡವಳಿಕೆ ಅಲ್ಲ, ಮತ್ತು ಯಾವುದೇ ಕ್ಲೈಂಟ್ ಸೆಟ್ಟಿಂಗ್ ಎರಡು ಒಂದೇ ಆಂತರಿಕ ವಿಳಾಸಗಳನ್ನು ಪ್ರತ್ಯೇಕಿಸುವುದಿಲ್ಲ. ಪೂಲ್ ಅದೇ ಮೌಲ್ಯವನ್ನು ಎರಡು ಬಾರಿ ನೀಡಿತು ಮತ್ತು ನೀತಿ ಸ್ಥಾಪಕ ಅದನ್ನು ಸ್ವೀಕರಿಸಿತು. ಕ್ಲೈಂಟ್ಗೆ ದೂಷಿಸುವ ಮೊದಲು ಫಲಿತಾಂಶವನ್ನು ಸರ್ವರ್ ಬದಿಯಿಂದ ಓದಿ.

ಪೂಲ್ ಅಥವಾ ಸಮಕಾಲೀನ ಮಾದರಿಯನ್ನು ಬದಲಾಯಿಸಿ, rekey ಟೈಮರ್ ಅಲ್ಲ

swanctl ಸಂರಚನೆಯಲ್ಲಿ, ವಿಶಿಷ್ಟತೆ ಸಂಪರ್ಕದ ಮೇಲೆ ಸ್ಪಷ್ಟ ನೀತಿ: unique = replace ಹೊಸದು ಸ್ಥಾಪನೆಯಾದಾಗ ಹಳೆಯ ಸಂಪರ್ಕವನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ, ಮತ್ತು unique = keep ಹೊಸದಾಗಿ ಬಂದವರನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ. ಎರಡೂ ಮೌಲ್ಯಗಳು ಸಂಪರ್ಕವನ್ನು ಸಿದ್ಧಪಡಿಸುವಾಗ ಕೆಲಸ ಮಾಡುತ್ತವೆ, ಅದರೊಳಗಿನ ಮಗು SA ಮೇಲಲ್ಲ.

connections {
  ios-alwayson {
    unique = replace
  }
}

ಪ್ರತಿ ಇಂಟರ್ಫೇಸ್ ಕ್ಲೈಂಟ್ಗೆ ಯಾವುದೇ ಮೌಲ್ಯ ತಟಸ್ಥವಲ್ಲ. keep ಎರಡನೇ ಸುರಂಗವನ್ನು ನಿರಾಕರಿಸಿ ಅಚ್ಚುಕಟ್ಟಾದ ಸ್ಥಿತಿ ಪರದೆಯನ್ನು ಮರುಸ್ಥಾಪಿಸುತ್ತದೆ ಮತ್ತು ನಿರ್ವಹಿತ ವಿನ್ಯಾಸವನ್ನು ಮುರಿಯುತ್ತದೆ, ಆದರೆ replace ಹಳೆಯ ಸುರಂಗವನ್ನು ಕೆಡವುತ್ತದೆ ಮತ್ತು ಇನ್ನೊಂದು ದಿಕ್ಕಿನಲ್ಲಿ ಅದೇ ರಾಜಿ. ಎರಡೂ ಸುರಂಗಗಳು ನಿಜವಾಗಿಯೂ ಬೇಕಾದರೆ, ಪೂಲ್ ಬ್ಯಾಕೆಂಡ್ ಒಂದು ಗುರುತಿಗೆ ಪ್ರತ್ಯೇಕ ಗುತ್ತಿಗೆಗಳನ್ನು ನೀಡಬೇಕು, ಮತ್ತು ಅದರ ಗುತ್ತಿಗೆ ಕೀ ವಿನಂತಿಗಳನ್ನು ಪ್ರತ್ಯೇಕಿಸಬೇಕು. ಸ್ಥಿರ ಗುರುತು-ಗೆ-ವಿಳಾಸ ಕೋಷ್ಟಕ ಸಂತೋಷದಿಂದ ಅದೇ ವಿಳಾಸವನ್ನು ಎರಡು ಬಾರಿ ಹಿಂತಿರುಗಿಸುತ್ತದೆ ಮತ್ತು ಮೂಲ ಸಮಸ್ಯೆಯನ್ನು ಹೆಚ್ಚು ಸಂರಚನೆಯೊಂದಿಗೆ ಪುನರುತ್ಪಾದಿಸುತ್ತದೆ. ಎರಡನೇ ಸ್ಥಿರ ಮ್ಯಾಪಿಂಗ್ ಸೇರಿಸುವ ಮೊದಲು ಬ್ಯಾಕೆಂಡ್ ಗುತ್ತಿಗೆಗಳನ್ನು ಹೇಗೆ ಕೀ ಮಾಡುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ.

ನೀವು ನಿಜವಾಗಿ ನಿಯೋಜಿಸುವ ಪರಿವರ್ತನೆಗಳನ್ನು ಪರೀಕ್ಷಿಸಿ

ಸಕ್ರಿಯ ಅಧಿವೇಶನದೊಂದಿಗೆ Wi-Fi ವ್ಯಾಪ್ತಿಯಿಂದ ಹೊರಗೆ ಹೋಗಿ, ನಂತರ ಮತ್ತೆ ಒಳಗೆ ಬನ್ನಿ, ಮತ್ತು ಉತ್ತರಗಳು ಎರಡೂ ದಿಕ್ಕುಗಳಲ್ಲಿ ಬರುತ್ತವೆ ಎಂದು ಪರಿಶೀಲಿಸಿ. ಅದನ್ನು ಎರಡು ಬಾರಿ ಮಾಡಿ, ಏಕೆಂದರೆ ಎರಡನೇ ಪರಿವರ್ತನೆಯೇ ಹಳೆಯ ನೀತಿ ಸಾಮಾನ್ಯವಾಗಿ ಕಾಣಿಸಿಕೊಳ್ಳುವ ಸ್ಥಳ. ನೀವು ತೆರೆದ ಸಂಪರ್ಕದಲ್ಲಿ ಉತ್ತರಿಸುವ ಸೇವೆಯೊಂದಿಗೆ ಪರೀಕ್ಷಿಸಿ, ಮತ್ತು ಸುರಂಗ ನಿಷ್ಕ್ರಿಯವಾಗಿ ಕುಳಿತುಕೊಳ್ಳುವ ಬದಲು ಸಂಚಾರವನ್ನು ಹೊತ್ತೊಯ್ಯುವಾಗ ಹೊರಹೋಗುವುದನ್ನು ಪುನರಾವರ್ತಿಸಿ. ಕಳುಹಿಸಬಲ್ಲ ಆದರೆ ಸ್ವೀಕರಿಸಲಾಗದ ಫೋನ್ ಹ್ಯಾಂಡ್ಶೇಕ್ ಲಾಗ್ನಲ್ಲಿ ಆರೋಗ್ಯಕರವಾಗಿ ಮತ್ತು ಬ್ರೌಸರ್ನಲ್ಲಿ ಮುರಿದಂತೆ ಕಾಣುತ್ತದೆ.

ಒಂದು ಸಾಲಿಗೆ ಇಳಿಸಿದ ಸ್ಥಿತಿ ಪರದೆ ಕೆಲಸ ಮಾಡುವ ವಿನ್ಯಾಸದ ಸಾಕ್ಷ್ಯವಲ್ಲ, ಒಂದು ಸುರಂಗ ಹೋಗಿದೆ ಎಂಬ ಸಾಕ್ಷ್ಯ ಮಾತ್ರ. ಪರಿವರ್ತನೆ ಉತ್ತೀರ್ಣವಾಗುವ ಮೊದಲು ಎರಡೂ ದಿಕ್ಕುಗಳು ಕೆಲಸ ಮಾಡಬೇಕು. ನೀವು ಗಮನಿಸಿದ್ದನ್ನು ಅತಿಕ್ರಮಣ ಪರಿಶೀಲನೆಯ ಎರಡು ಔಟ್ಪುಟ್ಗಳೊಂದಿಗೆ ಬರೆಯಿರಿ, ಇದರಿಂದ ಮುಂದಿನ ಇಂಜಿನಿಯರ್ ಪುನರಾವರ್ತಿಸುವ ಬದಲು ಹೋಲಿಸಬಹುದು.