Tā pati IKEv2 identitāte divos iPhone? Tie pieslēdzas pārmaiņus
Viens profils, kas kopēts uz divām ierīcēm, dod vārtejai vienu peer divu vietā. Vērojiet, kā peer tabula piepildās un iztukšojas, pēc tam izsniedziet vērtību katrai ierīcei.
Divi tālruņi, viens profils un modelis, kas izskatās pārdabisks, līdz kāds paskatās uz vārteju. Viena ierīce tur tuneli, otrā pieslēdzas, un pirmā to zaudē dažu sekunžu laikā. Pirmā pieslēdzas atkal, otrā atkrīt. Tiek vainota akumulatora taupīšana, Wi-Fi viesabonēšana un operatora NAT, kamēr īstais cēlonis sēž teksta laukā, kas tika nokopēts kopā ar visu pārējo. IKEv2 atpazīst peer pēc vārda, un abi tālruņi uzrāda to pašu vārdu.
Identitāte ir atslēga, ar kuru serveris tevi glabā
IKEv2 apmaiņas laikā katra puse paziņo, kas tā ir: iniciators sūta lokālo identifikatoru, atbildētājs atbild ar savu, un atbildētājs arī pārbauda iniciatora apgalvoto identitāti pret politiku. Vārteja savu stāvokli glabā pēc identitātes, nevis pēc ierīces, jo ierīce nav kaut kas, ko tā var redzēt. Tāpēc divi tālruņi ar vienu identifikatoru ierodas kā viens peer, un otrajai apmaiņai ir jāpārraksta pirmā. Problēma parādās tikai tad, kamēr abi tiek lietoti, tāpēc tests ar vienu tālruni to nekad neatkārto.
Nekas no tā nav klienta kļūda. Klients nosūtīja tieši to, ko profils tam lika nosūtīt.
Kā sadursme izskatās no vārtejas
Vērojiet peer sarakstu, kamēr abi tālruņi ir nomodā un lietošanā. Sadursme rāda vienu ierakstu, kura adrese mainās, tālruņiem mainoties, un aktīvo sesiju skaitītājs nekad nesasniedz divus. Izslēgšana pēc pieprasījuma izskatās citādi, un to atšķiršanai vajadzīgs viens novērojums, nevis teorija.
| Observation | Shared identity | Idle teardown |
|---|---|---|
| Peer entries while both are awake | One, with a changing address | One per phone, or none |
| What triggers the drop | The other device connecting | Time without traffic |
| What restores it | The other device disconnecting | Any app needing the tunnel |
Pierakstiet abus notikumus ar laika zīmogiem, kamēr tas notiek. Pārtraukums, kas sakrīt ar otras ierīces pieslēgšanos, norāda uz identifikatoru, un pārtraukums, kas nāk vienu dīkstāves intervālu pēc pēdējā paketes, norāda uz taimeri.
No kurienes nāk dublikāti
Vienas strādājošas konfigurācijas eksportēšana un tikai servera adreses rediģēšana rada otru failu, kurā joprojām ir pirmā faila identitāte. Tas ir parastais ceļš uz šo kļūmi, un tas parasti notiek, steidzami pieslēdzot nelielu grupu.
Lauku nosaukumi ļauj to viegli palaist garām. Attālais identifikators nosauc vārteju, ko tālrunis gaida, un to kopēt ir pareizi. Lokālais identifikators nosauc šo ierīci vārtejai, un šīs vērtības kopēšana ir visa problēma.
Izsniedziet vērtību katrai ierīcei
Izmantojiet kaut ko unikālu ierīcei un stabilu visā tās mūžā, piemēram, ierīces identifikatoru no inventāra vai vērtību, ko jūsu pārvaldības sistēma ģenerē katrai reģistrācijai. Nodaļas birka, koplietota servisa konta nosaukums vai lietotāja e-pasta adrese visas saduras, tiklīdz šai personai ir otra ierīce.
Ģenerējiet kravu katrai ierīcei, nevis izplatiet vienu failu. Pierakstiet, kura vērtība pieder kurai ierīcei, lai nomaiņa neatjaunotu veco profilu un neieliktu jauno tālruni atpakaļ tajā pašā sadursmē.
Pārbaudiet arī servera pusi. Vārteja, kas identitāti kartē uz fiksētu tuneļa adresi, joprojām var sadurties, kad divi dažādi identifikatori saņem vienu un to pašu piešķīrumu, tāpēc pārliecinieties, ka pūlam ir vieta un piešķīrumi nav piesaistīti lietotājam.
Pārbaudiet ar abiem tālruņiem nomodā
Pieslēdziet pirmo, sasniedziet privātu resursu, pēc tam pieslēdziet otru un atstājiet abus dīkstāvē uz minūti. Abām sesijām jāturpinās, un peer sarakstam jārāda divas identitātes. Pēc tam aizslēdziet un atslēdziet katru tālruni, lai apstiprinātu, ka dīkstāves gadījums joprojām uzvedas pareizi.
Ja viena sesija joprojām nokrīt reizi dienā, nekam citam nepievienojoties, identitāte vairs nav aizdomās turamā. Pārejiet pie dīkstāves taimeriem un servera sesiju limitiem, tā vietā lai vēlreiz rediģētu profilu.