iPhone Always On VPN: хоёр туннель нэг виртуал IP хуваалцаж болно

Интерфейс тус бүрийн Always On туннель нь бүтэлгүй rekey биш. Сервер дээрх хоёр SA-г харьцуулж, дараа нь нэг таних тэмдэг хоёр дотоод хаяг эзэмшиж болох эсэхийг шийдээрэй.

Удирдлагатай Always On профайлтай хяналтад байгаа iPhone дээр утас идэвхтэй IP интерфейс бүрт туннель барьдаг тул үүрэн холбоо, Wi-Fi тус бүр өөрийнхийг авдаг. Дараа нь сервер нэг төхөөрөмжид хоёр IKE аюулгүй байдлын холбоог жагсааж, ихэвчлэн нэг виртуал хаягийг хуваалцдаг бөгөөд эхний тэмүүлэл үүнийг rekey давталт гэж нэрлээд таймеруудыг өөрчилж эхлэх явдал юм. Тэр тэмүүлэл ихэвчлэн буруу. Доорх алхмуудыг нотолгоо сервер дээр гарч ирэх дарааллаар гүйцэтгэж, сервер танд ямар тохиолдол байгааг хэлэх хүртэл утасны тохиргоог хөндөхгүй байгаарай.

Сервер аль хэдийн байгаа хоёр мөрөөс эхэл

Холбоог swanctl --list-sas ашиглан жагсааж, хоёр бичлэгт дөрвөн талбарыг уншаарай: алсын хаяг, баталгаажсан таних тэмдэг, олгогдсон виртуал IP, үүссэн цаг. Нэг таних тэмдэг, нэг виртуал IP-тэй хоёр өөр гадаад хаяг нь энэ асуултыг эхлүүлсэн хэлбэр бөгөөд ямар ч өөрчлөлтийн өмнө түүнийг бичиж авах нь зүйтэй. Дараа нь тус бүрд холбогдсон хүүхэд холбоог шалгаарай, учир нь траффикийн сонгогчид очих газрын хайлт хоёр туннелийг хэзээ нэгэн цагт ялгаж чадах эсэхийг шийддэг. Хэдхэн секундэд гарч ирээд алга болох хос нь хоёулаа хэдэн цаг амьдардаг хосоос өөр амьтан.

Дүгнэлт гаргахаасаа өмнө жагсаалтыг үүссэн цагаар нь эрэмбэлээрэй. Гаралт дахь зэрэгцэл ямар ч утгагүй бөгөөд хүснэгт хэлбэрийн жагсаалт яг тэр алдааг урьж байна.

Ямар давхцлыг харж байгаагаа шийд

IKEv2 rekey болон make-before-break дахин баталгаажуулалт нь хуучин холбоог устгахаас өмнө шинийг тогтоож, санаатайгаар богино давхцал үүсгэдэг. Цагийн тэмдэглэгээ асуудлыг шийддэг, учир нь шинэ нь гарч ирснээс хойш нэг хоёр секундын дараа алга болох хуучин SA нь ажлаа хийж буй шинэчлэл юм. Бие даасан интерфейсийн туннель хэзээ ч тийм харагдахгүй, учир нь тус бүр өөрийн интерфейс ажиллаж байх хугацаанд оршиж, нэгийг устгах нь нөгөөг үүсгэхээс гарахгүй.

Apple-ийн удирдлагатай Always On зан төлөв интерфейс тус бүрээр байдаг тул хяналтад байгаа төхөөрөмж гараар тохируулсан профайлаас хууль ёсоор илүү завгүй харагдаж болно. Нийлүүлэгчийн аппын автомат холболтын унтраалга ижил зүйлийг илэрхийлэхгүй, ердийн on-demand дүрэм ч мөн адил. Apple-ийн байршуулалтын тойм интерфейс тус бүрийн загварыг тайлбарладаг; давталт гэж үзэхээсээ өмнө хоёр мөрөө түүнтэй харьцуулаарай. Хоёр хэлбэр нэг серверийн нөөцөөс авдаг тул давхцал нь таны цорын ганц эрт дохио юм.

Нэг виртуал хаяг хоёр туннелийн хариуг яагаад эвддэгийг хар

Утас руу чиглэсэн хариу дотоод хаяг руу хаяглагдаж, цөм нь очих газар болон бодлогоор гарч буй туннелийг сонгодог, утасны ашигласан интерфейсээр биш. Ижил виртуал IP-тэй, бодлого нь давхцаж буй хоёр зэрэгцээ холбоо нь хариу аль сессэд хамаарахыг хэлэх аргагүйгээр чиглүүлэлтийн шийдвэрийг үлдээдэг. Зарим хариу буруу туннелээр явж, утас нэг чиглэлд ажилладаг эсвэл Wi-Fi өргөгдөхөд үхдэг холболтыг харуулдаг. Хоёр командын гаралт төлөвийг нотолдог: swanctl --list-sas хоёр SA дээр ижил виртуал IP-г харуулж, ip xfrm policy хоёр ижил сонгогчийг харуулдаг.

Яг тэр гаралтын хосыг та өөрчлөлтийн бүртгэлд наана. Аль нь ч ганцаараа итгэмжлэхүйц биш, учир нь тус бүр тусдаа үнэмшилтэй харагдаж болно.

Энэ нь серверийн талын хаяглалт ба бодлого, утасны буруу зан төлөв биш бөгөөд ямар ч клиентийн тохиргоо хоёр ижил дотоод хаягийг ялгахгүй. Нөөц ижил утгыг хоёр удаа олгож, бодлогын суулгагч үүнийг хүлээн авсан. Клиентийг буруутгахаасаа өмнө үр дүнг серверийн талаас уншаарай.

Нөөц эсвэл зэрэгцээ байдлын загварыг өөрчил, rekey таймерыг биш

swanctl тохиргоонд өвөрмөц байдал нь холболт дээрх тодорхой бодлого: unique = replace шинэ холболт тогтох үед хуучин холболтыг устгаж, unique = keep шинээр ирснийг татгалздаг. Хоёр утга хоёулаа холболт тохируулах үед үйлчилдэг, доторх хүүхэд SA дээр биш.

connections {
  ios-alwayson {
    unique = replace
  }
}

Аль ч утга интерфейс тус бүрийн клиентэд төвийг сахисан биш. keep хоёр дахь туннелийг татгалзаж цэвэрхэн төлөвийн дэлгэцийг сэргээдэг боловч удирдлагатай загварыг эвддэг, харин replace хуучин туннелийг нурааж, эсрэг чиглэлийн ижил буулт болдог. Хэрэв хоёр туннель үнэхээр шаардлагатай бол нөөцийн арын хэсэг нэг таних тэмдэгт өөр өөр түрээс олгож, түүний түрээсийн түлхүүр хүсэлтүүдийг ялгах ёстой. Статик таних тэмдэг-хаяг хүснэгт ижил хаягийг хоёр удаа буцааж, анхны асуудлыг илүү их тохиргоотойгоор дахин үүсгэдэг. Хоёр дахь статик буулгалт нэмэхээс өмнө арын хэсэг түрээсийг хэрхэн түлхүүрддэгийг шалгаарай.

Бодитоор нэвтрүүлж буй шилжилтүүдээ туршаарай

Идэвхтэй сессээр Wi-Fi-ийн хүрээнээс гарч, дараа нь буцаж орж, хариу хоёр чиглэлд ирж байгаа эсэхийг шалгаарай. Үүнийг хоёр удаа хий, учир нь хоёр дахь шилжилт нь хуучирсан бодлого ихэвчлэн гарч ирдэг газар юм. Нээсэн холболт дээр хариу өгдөг үйлчилгээгээр туршиж, туннель сул зогсохын оронд траффик зөөж байх үед гарахыг давтаарай. Илгээж чаддаг ч хүлээн авч чаддаггүй утас гар барилтын логт эрүүл, хөтөч дээр эвдэрхий харагддаг.

Нэг мөр болтол багассан төлөвийн дэлгэц нь ажиллаж буй загварын нотолгоо биш, зөвхөн нэг туннель явсны нотолгоо. Шилжилт давшихын өмнө хоёр чиглэл ажиллах ёстой. Ажигласнаа давхцлын шалгалтын хоёр гаралтын хамт бичиж үлдээгээрэй, ингэснээр дараагийн инженер алхалтыг давтахын оронд харьцуулж чадна.

Холбоотой нийтлэлүүд