Rovnaká identita IKEv2 na dvoch iPhone? Pripájajú sa striedavo
Jeden profil skopírovaný do dvoch zariadení dá bráne jedného peera namiesto dvoch. Sledujte, ako sa tabuľka peerov plní a prázdni, a potom každému zariadeniu pridelte hodnotu.
Dva telefony, jeden profil a vzorec, ktorý vyzerá nadprirodzene, kým sa niekto nepozrie na bránu. Jedno zariadenie drží tunel, druhé sa pripojí a prvé ho v priebehu sekúnd stratí. Prvé sa znova pripojí a druhé vypadne. Vini sa úspora batérie, Wi-Fi roaming aj NAT operátora, zatiaľ čo skutočná príčina sedí v textovom poli, ktoré sa skopírovalo spolu so všetkým ostatným. IKEv2 identifikuje peera podľa mena a oba telefony predkladajú rovnaké meno.
Identita je kľúč, pod ktorým ťa server ukladá
V rámci výmeny IKEv2 každá strana uvádza, kým je: iniciátor posiela lokálny identifikátor, respondent odpovedá svojím a tiež overuje identitu, ktorú iniciátor tvrdí, proti politike. Brána si uchováva stav podľa identity, nie podľa zariadenia, pretože zariadenie nie je niečo, čo vidí. Dva telefony s jedným identifikátorom preto prichádzajú ako jeden peer a druhá výmena musí prepísať prvú. Problém sa objaví len vtedy, keď sú obe v používaní, a preto ho test s jedným telefónom nikdy nezopakuje.
Nič z toho nie je chyba v klientovi. Klient poslal presne to, čo mu profil povedal.
Ako kolízia vyzerá z brány
Sledujte zoznam peerov, kým sú oba telefony bdelé a v používaní. Kolízia ukazuje jeden záznam, ktorého adresa sa mení, ako sa telefony striedajú, a počítadlo aktívnych relácií nikdy nedosiahne dve. Ukončenie na požiadanie vyzerá inak a ich rozlíšenie si vyžaduje jedno pozorovanie, nie teóriu.
| Observation | Shared identity | Idle teardown |
|---|---|---|
| Peer entries while both are awake | One, with a changing address | One per phone, or none |
| What triggers the drop | The other device connecting | Time without traffic |
| What restores it | The other device disconnecting | Any app needing the tunnel |
Zapíšte obe udalosti s časovými pečiatkami, kým sa to deje. Výpadok, ktorý sa zhoduje s pripojením druhého prístroja, ukazuje na identifikátor, a výpadok, ktorý prichádza jeden interval nečinnosti po poslednom pakete, na časovač.
Odkiaľ sa berú duplikáty
Export jednej funkčnej konfigurácie a úprava iba adresy servera vytvorí druhý súbor, v ktorom je identita prvého súboru stále vnútri. To je obvyklá cesta k tejto poruche a zvyčajne sa stane pri uponáhľanom zavádzaní malej skupiny.
Názvy polí uľahčujú, aby sa to prehliadlo. Vzdialený identifikátor pomenúva bránu, ktorú telefón očakáva, a jeho kopírovanie je správne. Lokálny identifikátor pomenúva tento prístroj voči bráne, a kopírovanie tejto hodnoty je celý problém.
Pridelte hodnotu pre každé zariadenie
Použite niečo jedinečné pre prístroj a stabilné počas celej jeho životnosti, napríklad identifikátor zariadenia z inventára alebo hodnotu, ktorú váš systém správy generuje pri každej registrácii. Označenie oddelenia, zdieľaný názov servisného účtu alebo e-mailová adresa používateľa kolidujú, len čo má daná osoba druhé zariadenie.
Generujte payload pre každé zariadenie namiesto distribúcie jedného súboru. Zaznamenajte, ktorá hodnota patrí ktorému prístroju, aby výmena neobnovila starý profil a nevrátila nový telefón rovno do tej istej kolízie.
Skontrolujte aj stranu servera. Brána, ktorá mapuje identitu na pevnú adresu tunela, môže stále kolidovať, keď dva rôzne identifikátory dostanú rovnaké priradenie, preto overte, že fond má miesto a že priradenia nie sú pripnuté na používateľa.
Overte s oboma telefónmi bdelými
Pripojte prvý, dosiahnite súkromný zdroj, potom pripojte druhý a nechajte oba minútu nečinné. Obe relácie by mali pretrvať a zoznam peerov by mal ukazovať dve identity. Potom každý telefón zamknite a odomknite, aby ste potvrdili, že prípad nečinnosti sa stále správa správne.
Ak jedna relácia stále padá raz denne bez toho, aby sa pripájalo niečo iné, identita už nie je podozrivá. Prejdite na časovače nečinnosti a limity relácií servera namiesto opätovnej úpravy profilu.