iPhone Always On VPN: эки туннель бир виртуалдык IP бөлүшө алат

Башкарылуучу Always On профили бар көзөмөлдөгү iPhone'до телефон ар бир активдүү IP интерфейси үчүн туннель кармайт, ошондуктан уюлдук тармак менен Wi-Fi ар бири өзүнүкүн алат. Анан сервер бир түзмөк үчүн эки IKE коопсуздук ассоциациясын тизмелейт, көбүнчө бир виртуалдык даректи бөлүшөт, ал эми биринчи туюм муну rekey циклы деп атап, таймерлерди өзгөртө баштоо. Бул туюм адатта туура эмес. Төмөнкү кадамдарды далилдер серверде пайда болгон тартипте аткарыңыз жана сервер кайсы учур экенин айтмайынча телефон жөндөөлөрүнө тийбеңиз.

Серверде мурунтан бар эки саптан баштаңыз

Ассоциацияларды swanctl --list-sas менен тизмелеп, эки жазууда төрт талааны окуңуз: алыскы дарек, аутентификацияланган инсандык, берилген виртуалдык IP жана түзүлгөн убакыт. Бир инсандык жана бир виртуалдык IP менен эки башка тышкы дарек — ушул суроону баштаган форма, жана ар кандай өзгөртүүдөн мурун аны жазып коюуга татыктуу. Анан ар бирине тиркелген бала ассоциацияларды текшериңиз, анткени трафик селекторлору багыт издөө эки туннелди эч качан ажырата алабы же жокпу аныктайт. Секунддар ичинде пайда болуп жоголгон жуп сааттар бою жашаган жуптан башка жаныбар.

Корутунду чыгармасак, тизмени түзүлгөн убакыт боюнча иреттеңиз. Чыгарылыштагы коңшулук эч нерсени билдирбейт, ал эми таблица түрүндөгү тизме дал ушул катага чакырат.

Кайсы кабатташууну көрүп жатканыңызды аныктаңыз

IKEv2 rekey жана make-before-break кайра аутентификациялоо атайын кыска кабатташуу жаратат, эскини жок кылмайынча жаңы ассоциацияны орнотуп. Убакыт белгилери маселени чечет, анткени жаңысы пайда болгондон кийин бир-эки секунддан кийин жоголгон эски SA өз ишин аткарып жаткан жаңыртуу. Көз карандысыз интерфейстик туннелдер эч качан андай көрүнбөйт, анткени ар бири өз интерфейси күйүп турганда сакталат, ал эми бирөөнү жок кылуу экинчисин жаратуудан келип чыкпайт.

Apple'дын башкарылуучу Always On жүрүм-туруму интерфейс боюнча, ошондуктан көзөмөлдөгү түзмөк кол менен жөндөлгөн профилден мыйзамдуу түрдө бош эмес көрүнүшү мүмкүн. Провайдер колдонмосунун автоматтык туташуу которгучу ошону билдирбейт, кадимки on-demand эрежеси да билдирбейт. Apple'дын жайгаштыруу сереби интерфейс боюнча моделди сүрөттөйт; цикл деп ойлоодон мурун эки сабыңызды аны менен салыштырыңыз. Эки форма тең бир сервердик пулдан алат, ошондуктан кабатташуу сиздин жалгыз эрте белгиңиз.

Эмне үчүн бир виртуалдык дарек эки туннелдин жоопторун бузат

Телефонго жооп ички дарекке адрестелет, ал эми ядро чыгуучу туннелди багыт жана саясат боюнча тандайт, телефон колдонгон интерфейс боюнча эмес. Бирдей виртуалдык IP кармаган жана саясаттары дал келген эки параллелдүү ассоциация маршруттоо чечимин жооп кайсы сессияга таандык экенин айтуу жолу жок калтырат. Кээ бир жооптор туура эмес туннелге түшөт, ал эми телефон бир багытта иштеген же Wi-Fi көтөрүлгөндө өлгөн туташууну көрсөтөт. Эки буйрук чыгарылышы абалды далилдейт: swanctl --list-sas эки SA боюнча бирдей виртуалдык IP көрсөтөт, ал эми ip xfrm policy эки бирдей селекторду көрсөтөт.

Дал ушул чыгарылыш жупун өзгөртүү жазуусуна чаптайсыз. Экөө тең жалгыздан ишенимдүү эмес, анткени ар бири өзүнчө ишенимдүү көрүнүшү мүмкүн.

Бул сервер тараптагы адрестөө жана саясат, телефондун туура эмес жүрүм-туруму эмес, жана эч бир клиент жөндөөсү эки бирдей ички даректи бөлбөйт. Пул бирдей маанини эки жолу берди жана саясат орноткуч аны кабыл алды. Клиентти күнөөлөөдөн мурун жыйынтыкты сервер тараптан окуңуз.

Пулду же параллелдүүлүк моделин өзгөртүңүз, rekey таймерин эмес

swanctl конфигурациясында уникалдуулук туташуудагы ачык саясат: unique = replace жаңы туташуу орнотулганда эскисин алып салат, ал эми unique = keep жаңы келгенди четке кагат. Эки маани тең туташуу орнотулганда иштейт, анын ичиндеги бала SA'ларга эмес.

connections {
  ios-alwayson {
    unique = replace
  }
}

Эч бир маани интерфейс боюнча клиент үчүн нейтралдуу эмес. keep экинчи туннелден баш тартып, таза абал экранын калыбына келтирет жана башкарылуучу долбоорду бузат, ал эми replace эски туннелди кулатып, каршы багыттагы ошол эле компромисс болот. Эгер эки туннель чындап керек болсо, пулдун бэкенди бир инсандык үчүн өзүнчө ижараларды бериши керек, ал эми анын ижара ачкычы сурамдарды ажыратышы тийиш. Статикалык инсандык-дарек таблицасы бир даректи эки жолу кайтарып, баштапкы маселени көбүрөөк конфигурация менен кайталайт. Экинчи статикалык картаны кошконго чейин бэкенд ижараларды кантип ачкычтай турганын текшериңиз.

Иш жүзүндө чыгара турган өтүүлөрдү сынаңыз

Активдүү сессия менен Wi-Fi алкагынан чыгып, анан кайра кирип, жооптор эки багытта тең келерин текшериңиз. Муну эки жолу жасаңыз, анткени эскирген саясат адатта экинчи өтүүдө пайда болот. Ачкан туташууңузга жооп берген кызмат менен сынап көрүңүз жана туннель бош турбай, трафик ташып жатканда чыгууну кайталаңыз. Жөнөтө алган, бирок кабыл ала албаган телефон кол алышуу журналында соо, ал эми браузерде бузук көрүнөт.

Бир сапка кыскартылган абал экраны иштеген долбоордун далили эмес, бир туннелдин кеткенин далилдейт. Өтүү өтүшү үчүн эки багыт тең иштеши керек. Эмнени байкаганыңызды кабатташууну текшерүүнүн эки чыгарылышы менен бирге жазып коюңуз, кийинки инженер серүүндү кайталабай, салыштыра алсын.