Déi selwecht IKEv2-Identitéit op zwee iPhone? Si verbannen sech ofwiesselnd

Zwee Telefonen, ee Profil an e Muster, dat iwwernatierlech schéngt, bis een de Gateway kuckt. Een Apparat hält den Tunnel, den zweete verbënnt sech, an den éischte verléiert en a Sekonnen. Den éischte verbënnt sech erëm an den zweete fällt eraus. Batteriespueren, Wi-Fi-Roaming an den NAT vum Bedreiwer kréien d’Schold, wärend déi tatsächlech Ursaach an engem Textfeld sëtzt, dat mat allem aneren kopéiert gouf. IKEv2 identifizéiert e Peer iwwer en Numm, an déi zwou Telefonen weisen dee selwechten.

D’Identitéit ass de Schlëssel, ënner deem de Server dech späichert

Bannen an engem IKEv2-Austausch seet all Säit, wien se ass: den Initiator schéckt eng lokal Identifikatioun, de Responder äntwert mat senger eegener, an de Responder iwwerpréift och d’Identitéit, déi den Initiator behaapt huet, géint d’Politik. De Gateway hält säi Staat pro Identitéit amplaz pro Apparat, well en Apparat net eppes ass, wat en ka gesinn. Zwee Telefonen mat enger Identifikatioun komme dofir als ee Peer un, an den zweeten Austausch muss den éischten iwwerschreiwen. De Problem erschéngt just, während déi zwou a Benotzung sinn, dofir reproduzéiert en Test mat engem Telefon en ni.

Näischt dovun ass e Feeler am Client. De Client huet genee dat geschéckt, wat de Profil him gesot huet.

Wéi de Kollisioun vum Gateway aus ausgesäit

Kuckt d’Peer-Lëscht, während déi zwou Telefonen waakreg a Benotzung sinn. Eng Kollisioun weist een eenzegen Andrag, deem seng Adress sech ännert, wann d’Telefonen tauschen, an den Zähler vun aktive Sessiounen erreecht ni zwee. Den Ofbau op Ufro gesäit anescht aus, an hirem z’ënnerscheeden brauch een Observatioun amplaz vun enger Theorie.

Schreift déi zwou Evenementer mat Zäitstempel op, während et geschitt. En Ofbroch, deen mam Verbannen vum aneren Apparat zesummefällt, weist op d’Identifikatioun hin, an een, deen een Idle-Intervall no dem leschte Pak kënnt, op en Timer.

Wou d’Duplikater hierkommen

Eng funktionéierend Konfiguratioun exportéieren an nëmmen d’Serveradress änneren produzéiert eng zweet Datei, an där d’Identitéit vun der éischter Datei nach dran ass. Dat ass de gewéinleche Wee zu dësem Feeler, an et geschitt meeschtens beim hastige Onboarding vun enger klenger Grupp.

D’Feldnimm maachen et einfach, dat ze iwwersinn. D’Remote-Identifikatioun nennt de Gateway, deen den Telefon erwaart, an se ze kopéieren ass richteg. D’lokal Identifikatioun nennt dësen Apparat vis-à-vis vum Gateway, an dee Wäert ze kopéieren ass de ganze Problem.

Gitt e Wäert pro Gerät aus

Benotzt eppes Eenzegaarteges fir den Apparat a Stabiles fir säi ganze Liewen, wéi d’Apparat-Identifikatioun aus dem Inventar oder e Wäert, deen Äre Managementsystem pro Aschreiwung generéiert. Eng Ofdeelungslabel, en gemeinsamen Déngschtkontonumm oder d’E-Mailadress vum Benotzer kollidéieren all, soubal déi Persoun en zweeten Apparat huet.

Generéiert d’Payload pro Gerät amplaz eng Datei ze verdeelen. Notéiert, wéi ee Wäert zu wéiem Apparat gehéiert, sou datt en Ersatz den ale Profil net restauréiert an den neien Telefon direkt zréck an déiselwecht Kollisioun bréngt.

Préift och d’Serversäit. E Gateway, deen d’Identitéit op eng fest Tunneladress mappt, ka nach ëmmer kollidéieren, wann zwou verschidde Identifikatiounen déiselwecht Zoustellung kréien, dofir bestätegt, datt de Pool Plaz huet an d’Zoustellungen net pro Benotzer festgemaach sinn.

Verifizéiert mat deenen zwou Telefonen waakreg

Verbënnt den éischten, erreecht eng privat Ressource, verbënnt dann den zweeten an loosst déi zwou eng Minutt inaktiv. Déi zwou Sessiounen sollten bestoe bleiwen an d’Peer-Lëscht soll zwou Identitéiten weisen. Dann spär a entspär all Telefon, fir ze bestätegen, datt den Idle-Fall sech nach richteg verhält.

Wann eng eenzeg Sessioun nach ëmmer eemol am Dag fällt, ouni datt eppes anescht sech verbënnt, ass d’Identitéit net méi verdächteg. Gitt weider op Idle-Timeren an d’Sessiounsgrenze vum Server amplaz de Profil nach eng Kéier z’änneren.