iPhone Always On VPN: żewġ tunnelli jistgħu jaqsmu IP virtwali waħda

Fuq iPhone sorveljat b'profil Always On ġestit, it-telefon iżomm tunnell għal kull interface IP attiva, u b'hekk iċ-ċellulari u l-Wi-Fi kull wieħed jieħu tiegħu. Is-server imbagħad jelenka żewġ assoċjazzjonijiet tas-sigurtà IKE għal apparat wieħed, spiss jaqsmu indirizz virtwali wieħed, u l-ewwel impuls huwa li nsejħu dan ċirku ta' rekey u nibdew inbiddlu t-timers. Dan l-impuls ġeneralment ikun żbaljat. Mexxi l-passi hawn taħt bl-ordni li biha l-evidenza tidher fuq is-server, u ħalli s-settings tat-telefon kwieti sakemm is-server jgħidlek liema każ għandek.

Ibda biż-żewġ ringieli li s-server diġà għandu

Elenca l-assoċjazzjonijiet b'swanctl --list-sas u aqra erba' oqsma fiż-żewġ daħliet: l-indirizz remot, l-identità awtentikata, l-IP virtwali assenjata u l-ħin tal-ħolqien. Żewġ indirizzi esterni differenti b'identità waħda u IP virtwali waħda huma l-forma li bdiet din il-mistoqsija, u jiswa li tinkitbu qabel kwalunkwe bidla. Imbagħad iċċekkja l-assoċjazzjonijiet tat-tfal imwaħħla ma' kull waħda, għax is-seletturi tat-traffiku jiddeċiedu jekk tfittxija tad-destinazzjoni tistax qatt tiddistingwi ż-żewġ tunnelli. Par li jidher u jgħib fi ftit sekondi huwa annimal ieħor minn par li t-tnejn jgħixu għal sigħat.

Issortja l-lista skont il-ħin tal-ħolqien qabel ma tasal għal konklużjoni. Il-qrubija fl-output ma tfisser xejn, u lista f'forma ta' tabella tistieden eżattament dak l-iżball.

Iddeċiedi liema sovrapposizzjoni qed tara

Ir-rekey tal-IKEv2 u l-awtentikazzjoni mill-ġdid make-before-break joħolqu b'mod intenzjonat sovrapposizzjoni qasira, billi jistabbilixxu l-assoċjazzjoni l-ġdida qabel ma titħassar l-qadima. It-timbri tal-ħin isolvu l-każ, għax SA qadima li tgħib sekonda jew tnejn wara li tidher il-ġdida hija tiġdid li qed jagħmel xogħlu. Tunnelli tal-interface indipendenti qatt ma jidhru hekk, għax kull wieħed jibqa' sakemm l-interface tiegħu tkun attiva, u t-tħassir ta' wieħed ma joħroġx mill-ħolqien tal-ieħor.

L-imġiba Always On ġestita ta' Apple hija għal kull interface, u għalhekk apparat sorveljat jista' jidher b'mod leġittimu aktar okkupat minn profil konfigurat bl-idejn. Is-swiċċ tal-konnessjoni awtomatika ta' app tal-fornitur ma jimplikax l-istess ħaġa, u lanqas regola on-demand ordinarja. L-iktar ħarsa ġenerali tal-varar ta' Apple tiddeskrivi l-mudell għal kull interface; qabbel iż-żewġ ringieli tiegħek miegħu qabel ma tassumi ċirku. Iż-żewġ forom jiġbdu wkoll mill-istess ġabra tas-server, għalhekk is-sovrapposizzjoni hija l-unika sinjal bikri tiegħek.

Ara għaliex indirizz virtwali wieħed għaż-żewġ tunnelli jkisser it-tweġibiet

Tweġiba lit-telefon hija indirizzata lejn l-indirizz intern, u l-kernel jagħżel tunnell tal-ħruġ skont id-destinazzjoni u l-politika, mhux skont l-interface li uża t-telefon. Żewġ assoċjazzjonijiet konkorrenti li jżommu l-istess IP virtwali b'politiki li jaqblu jħallu d-deċiżjoni tar-rotta mingħajr mod kif tgħid liema sessjoni tappartjeni tweġiba. Xi tweġibiet jieħdu t-tunnell żbaljat, u t-telefon juri konnessjoni li taħdem f'direzzjoni waħda jew tmut meta l-Wi-Fi tiela'. Żewġ outputs ta' kmand jipprovaw l-istat: swanctl --list-sas juri l-istess IP virtwali fuq iż-żewġ SA, u ip xfrm policy juri żewġ seletturi identiċi.

Proprju dak il-par ta' outputs tippejstjah fir-rekord tal-bidla. Lanqas wieħed waħdu ma huwa konvinċenti, għax kull wieħed jista' jidher plawżibbli waħdu.

Dan huwa indirizzar u politika fuq in-naħa tas-server, mhux imġiba ħażina tat-telefon, u l-ebda setting tal-klijent ma jifred żewġ indirizzi interni identiċi. Il-ġabra ħarġet l-istess valur darbtejn u l-installatur tal-politika aċċettah. Aqra r-riżultat min-naħa tas-server qabel ma tagħti t-tort lill-klijent.

Ibdel il-ġabra jew il-mudell ta' konkorrenza, mhux it-timer tar-rekey

Fil-konfigurazzjoni swanctl, l-uniċità hija politika espliċita fuq il-konnessjoni: unique = replace ineħħi konnessjoni eqdem meta tiġi stabbilita waħda ġdida, u unique = keep jirrifjuta lill-ġdid li jasal. Iż-żewġ valuri jaġixxu meta tiġi stabbilita konnessjoni, mhux fuq l-SA tat-tfal fiha.

connections {
  ios-alwayson {
    unique = replace
  }
}

L-ebda valur mhu newtrali għal klijent għal kull interface. keep jerġa' jġib skrin tal-istat ordnat billi jirrifjuta t-tieni tunnell u jkisser id-disinn ġestit, filwaqt li replace iġġarraf it-tunnell eqdem u huwa l-istess kompromess fid-direzzjoni l-oħra. Jekk iż-żewġ tunnelli huma tassew meħtieġa, il-backend tal-ġabra irid joħroġ kiri differenti għal identità waħda, u l-muftieħ tal-kiri tiegħu irid jiddistingwi t-talbiet. Tabella statika identità-għal-indirizz se togħġobha tirritorna l-istess indirizz darbtejn u tirriproduċi l-problema oriġinali b'aktar konfigurazzjoni. Iċċekkja kif il-backend jagħmel iċ-ċwievet tal-kiri qabel ma żżid it-tieni mappatura statika.

Ittestja t-tranżizzjonijiet li tassew tħaddem

Oħroġ mill-firxa tal-Wi-Fi b'sessjoni attiva, imbagħad erġa' daħal, u iċċekkja li t-tweġibiet jaslu fiż-żewġ direzzjonijiet. Agħmilha darbtejn, għax it-tieni tranżizzjoni hija fejn politika skaduta normalment tidher. Ipprova b'servizz li jwieġeb fuq il-konnessjoni li ftaħt, u erġa' għamel il-ħruġ waqt li t-tunnell iġorr traffiku minflok ma joqgħod għażżien. Telefon li jista' jibgħat imma mhux jirċievi jidher f'saħħtu f'log tal-handshake u mqassam f'browser.

Skrin tal-istat imnaqqas għal ringiela waħda mhuwiex prova ta' disinn li jaħdem, biss prova li tunnell wieħed telaq. Iż-żewġ direzzjonijiet iridu jaħdmu qabel ma tgħaddi tranżizzjoni. Ikteb dak li osservajt, flimkien maż-żewġ outputs tal-verifika tas-sovrapposizzjoni, sabiex l-inġinier li jmiss ikun jista' jqabbel minflok ma jirrepeti l-mixja.