iPhone Always On VPN: zwee Tunnelle kënnen eng virtuell IP deelen

Op engem iwwerwaachten iPhone mat engem geréierten Always On-Profil hält den Telefon en Tunnel fir all aktiv IP-Interface, sou datt Mobilfunk a Wi-Fi jiddwereen säin eegene kritt. Den Server listet dann zwee IKE-Sécherheetsassociatiounen fir een Apparat, dacks eng virtuell Adress deelen, an den éischten Impuls ass et eng Rekey-Schleef ze nennen an d'Timer ze änneren. Dee Impuls ass meeschtens falsch. Gitt déi Schrëtt hei ënnen an der Rei duerch, wéi d'Beweiser um Server erschéngen, a loosst d'Astellungen vum Telefon a Rou, bis den Server Iech seet, wéi ee Fall Dir hutt.

Fänkt mat den zwou Zeilen un, déi den Server schonn huet

Lëscht d'Associatiounen mat swanctl --list-sas a liest véier Felder iwwer béid Entréen: d'Fernadress, d'authentifizéiert Identitéit, déi zougewisen virtuell IP an d'Zäit vun der Schafung. Zwou verschidde baussenzeg Adressen mat enger Identitéit an enger virtueller IP ass d'Form, déi dës Fro ausgeléist huet, an et lount sech, se virun all Ännerung opzeschreiwen. Kontrolléiert duerno d'Kandassociatiounen, déi un all eenzeln hänken, well d'Trafficsselektoren entscheeden, ob eng Zilsich d'zwou Tunnellen iwwerhaapt kéint auserneenhalen. E Paar, dat a Sekonne erschéngt a verschwënnt, ass en anert Déier wéi e Paar, bei deem béid Stonnen laang liewen.

Sortéiert d'Lëscht no der Zäit vun der Schafung, ier Dir eng Conclusioun zitt. Nopeschschaft an der Ausgab bedeit näischt, an eng tabellaresch Lëscht luet genee op dee Feeler an.

Entscheet, wéi eng Iwwerlappung Dir kuckt

IKEv2-Rekey an d'Make-before-break-Reauthentifikatioun schafen absichtlech eng kuerz Iwwerlappung, andeem se déi nei Associatioun opbauen, ier déi al geläscht gëtt. Zäitstempelen entscheeden de Fall, well eng al SA, déi eng Sekonn oder zwou nom Erschéngen vun der neier verschwënnt, Erneierung ass, déi hir Aarbecht mécht. Onofhängeg Interface-Tunnelle gesinn ni sou aus, well jiddweree besteet, soulaang säin Interface uewen ass, an d'Läschen vum engem net aus dem Uleeë vum aneren entsteet.

Dem Apple seng geréiert Always On-Verhalen ass pro Interface, dofir kann en iwwerwaachten Apparat legitimerweis beschäftegter ausgesinn wéi e Profil, deen vun Hand ageriicht gouf. Den Auto-Connect-Schalter vun enger Provider-App bedeit net datselwecht, an eng gewéinlech On-Demand-Regel och net. D'Apple-Iwwersiicht vum Deployment beschreift de Modell pro Interface; vergläicht Är zwou Zeilen domat, ier Dir eng Schleef unhëlt. Béid Formen zéien och aus demselwe Serverpool, dofir ass d'Iwwerlappung Ären eenzege fréien Zeechen.

Gesitt, firwat eng virtuell Adress fir zwee Tunnellen Äntwerten zerbricht

Eng Äntwert un den Telefon gëtt un déi intern Adress adresséiert, an de Kernel wielt en Ausgangstunnel no Zil a Politik, net no dem Interface, deen den Telefon benotzt huet. Zwou gläichzäiteg Associatiounen, déi déiselwecht virtuell IP mat iwwereneestëmmenden Politiken hunn, loossen d'Routingentscheedung ouni Wee, ze soen, zu wéi enger Sitzung eng Äntwert gehéiert. Verschidden Äntwerten huelen de falschen Tunnel, an den Telefon weist eng Verbindung, déi een Zort funktionéiert oder stierft, wann Wi-Fi eropkënnt. Zwou Kommandoausgaben beweisen den Zoustand: swanctl --list-sas weist déiselwecht virtuell IP op béide SA, an ip xfrm policy weist zwee identesch Selektoren.

Genee dee Paar Ausgaben ass et, deen Dir an de Changementsrapport pecht. Keng vun deenen zwou eleng ass iwwerzeegend, well jiddwereng eleng plausibel ausgesi kann.

Dëst ass Adresséierung a Politik op der Serversäit, net e falscht Verhalen vum Telefon, an keng Clientastellung trennt zwou identesch intern Adressen. De Pool huet dee selwechte Wäert zweemol ausginn, an den Installateur vun der Politik huet en ugeholl. Liest d'Resultat vun der Serversäit, ier Dir de Client beschëllegt.

Ännert de Pool oder d'Parallelitéitsmodell, net den Rekey-Timer

An der swanctl-Konfiguratioun ass Eenzegaartegkeet eng explizit Politik op der Verbindung: unique = replace hëlt eng eeler Verbindung ewech, wann eng nei sech opbaut, an unique = keep weist den Neikommenden of. Béid Wäerter wierken, wann eng Verbindung ageriicht gëtt, net op de Kand-SA'en dran.

connections {
  ios-alwayson {
    unique = replace
  }
}

Kee vun de Wäerter ass neutral fir e Client pro Interface. keep stellt en uerdentlechen Zoustandsbildschierm erëm, andeem en den zweeten Tunnel ofweist, a brécht de geréierten Design, wärend replace den eeleren Tunnel erofsäit an dee selwechte Kompromiss an déi aner Richtung ass. Wann béid Tunnellen wierklech noutwenneg sinn, muss de Pool-Backend fir eng Identitéit ënnerschiddlech Leasen ausginn, an säi Lease-Schlëssel muss d'Ufroen ënnerscheeden. Eng statesch Identitéit-zu-Adress-Tabell gëtt gär déiselwecht Adress zweemol zréck an reproduzéiert d'Originalproblem mat méi Konfiguratioun. Kontrolléiert, wéi de Backend d'Lease-Schlësselen opbaut, ier Dir eng zweet statesch Mapping derbäi setzt.

Testt d'Iwwergäng, déi Dir tatsächlech ausrullt

Gitt aus der Wi-Fi-Reechweite mat enger aktiver Sitzung eraus, kommt duerno erëm eran, a kontrolléiert, datt Äntwerten a béid Richtunge kommen. Maacht et zweemol, well déi zweet Iwwergang ass, wou eng verouderte Politik meeschtens opdaucht. Testt mat engem Service, deen op der Verbindung äntwert, déi Dir opgemaach hutt, a widderhëlt d'Erausgoen, wärend den Tunnel Traffic dréit, amplaz idle ze stoen. En Telefon, dee schécke kann awer net empfänken, gesäit gesond am Handshake-Log an an engem Browser futti aus.

En Zoustandsbildschierm, deen op eng Zeil reduzéiert ass, ass keen Beweis fir e funktionéierenden Design, just e Beweis, datt een Tunnel fort ass. Béid Richtunge mussen fonctionnéieren, ier en Iwwergang duerchkënnt. Schreift op, wat Dir observéiert hutt, zesumme mat den zwou Ausgaben vun der Iwwerlappungspréifung, sou datt den nächsten Ingenieur ka vergläichen, amplaz de Spadséiergang ze widderhuelen.