Ta pati IKEv2 tapatybė dviejuose iPhone? Jie prisijungia pakaitomis
Vienas profilis, nukopijuotas į du įrenginius, suteikia tinklų sietuvui vieną peer vietoje dviejų. Stebėkite, kaip peer lentelė pildosi ir tuštėja, tada išduokite reikšmę kiekvienam įrenginiui.
Du telefonai, vienas profilis ir modelis, kuris atrodo antgamtiškas, kol kas nors nepasižiūri į tinklų sietuvą. Vienas įrenginys laiko tunelį, antrasis prisijungia, o pirmasis jį praranda per kelias sekundes. Pirmasis vėl prisijungia, antrasis atsijungia. Kaltinami baterijos taupymas, Wi-Fi roaming ir operatoriaus NAT, o tikroji priežastis slypi teksto lauke, kuris buvo nukopijuotas kartu su viskuo kitu. IKEv2 atpažįsta peer pagal vardą, ir abu telefonai pateikia tą patį vardą.
Tapatybė yra raktas, po kuriuo serveris tave saugo
IKEv2 mainų metu kiekviena pusė pareiškia, kas ji: iniciatorius siunčia vietinį identifikatorių, atsakovas atsako savo, be to, atsakovas tikrina iniciatoriaus deklaruotą tapatybę pagal politiką. Tinklų sietuvas savo būseną saugo pagal tapatybę, o ne pagal įrenginį, nes įrenginys nėra tai, ką jis gali matyti. Todėl du telefonai su vienu identifikatoriumi atvyksta kaip vienas peer, o antrasis mainai turi perrašyti pirmuosius. Problema pasirodo tik tada, kai abu naudojami, todėl testas su vienu telefonu jos niekada nepakartoja.
Niekas iš to nėra kliento klaida. Klientas išsiuntė būtent tai, ką profilis jam liepė siųsti.
Kaip susidūrimas atrodo iš tinklų sietuvo
Stebėkite peer sąrašą, kol abu telefonai bunda ir naudojami. Susidūrimas rodo vieną įrašą, kurio adresas keičiasi telefonams keičiantis, o aktyvių sesijų skaitiklis niekada nepasiekia dviejų. Išjungimas pagal poreikį atrodo kitaip, o juos atskirti padeda vienas stebėjimas, o ne teorija.
| Observation | Shared identity | Idle teardown |
|---|---|---|
| Peer entries while both are awake | One, with a changing address | One per phone, or none |
| What triggers the drop | The other device connecting | Time without traffic |
| What restores it | The other device disconnecting | Any app needing the tunnel |
Užrašykite abu įvykius su laiko žymomis, kol tai vyksta. Nutrūkimas, kuris sutampa su kito įrenginio prisijungimu, rodo į identifikatorių, o nutrūkimas, ateinantis po vieno tuščiosios eigos intervalo po paskutinio paketo, rodo į laikmatį.
Iš kur atsiranda dublikatai
Vienos veikiančios konfigūracijos eksportavimas ir tik serverio adreso redagavimas sukuria antrą failą, kuriame vis dar yra pirmo failo tapatybė. Tai įprastas kelias į šią nesėkmę, ir ji dažniausiai nutinka skubiai prijungiant mažą grupę.
Laukų pavadinimai leidžia tai lengvai praleisti. Nuotolinis identifikatorius įvardija tinklų sietuvą, kurio tikisi telefonas, ir jį kopijuoti yra teisinga. Vietinis identifikatorius įvardija šį įrenginį tinklų sietuvui, ir tos reikšmės kopijavimas yra visa problema.
Išduokite reikšmę kiekvienam įrenginiui
Naudokite kažką unikalaus įrenginiui ir stabilaus visą jo gyvavimo laiką, pavyzdžiui, įrenginio identifikatorių iš inventoriaus arba reikšmę, kurią jūsų valdymo sistema generuoja kiekvienai registracijai. Skyriaus žyma, bendro paslaugų paskyros pavadinimas arba vartotojo el. pašto adresas susiduria iškart, kai tas asmuo turi antrą įrenginį.
Generuokite naudingąją apkrovą kiekvienam įrenginiui, o ne platinkite vieną failą. Užsirašykite, kuri reikšmė priklauso kuriam įrenginiui, kad pakeitimas neatkurtų seno profilio ir nenugrūstų naujo telefono atgal į tą patį susidūrimą.
Patikrinkite ir serverio pusę. Tinklų sietuvas, susiejantis tapatybę su fiksuotu tunelio adresu, vis tiek gali susidurti, kai du skirtingi identifikatoriai gauna tą patį priskyrimą, todėl patvirtinkite, kad telkinyje yra vietos ir priskyrimai nėra prisegti konkrečiam vartotojui.
Patikrinkite su abiem telefonais pabudus
Prijunkite pirmąjį, pasiekite privatų išteklių, tada prijunkite antrąjį ir palikite abu neaktyvius minutę. Abi sesijos turėtų išlikti, o peer sąrašas turėtų rodyti dvi tapatybes. Tada užrakinkite ir atrakinkite kiekvieną telefoną, kad patvirtintumėte, jog neaktyvus atvejis vis dar elgiasi tinkamai.
Jei viena sesija vis dar nutrūksta kartą per dieną, niekam kitam nesijungiant, tapatybė nebėra įtariamasis. Pereikite prie neaktyvumo laikmačių ir serverio sesijų limitų, o ne redaguokite profilį dar kartą.