Ista identiteta IKEv2 na dveh iPhone? Izmenično se povezujeta
En profil, kopiran na dve napravi, da prehodu enega peera namesto dveh. Opazujte, kako se tabela peerov polni in prazni, nato izdajte vrednost za vsako napravo.
Dva telefona, en profil in vzorec, ki se zdi nadnaraven, dokler nekdo ne pogleda prehoda. Ena naprava drži tunel, druga se poveže, prva pa ga v nekaj sekundah izgubi. Prva se znova poveže, druga odpade. Krivijo varčevanje z baterijo, Wi-Fi gostovanje in NAT operaterja, medtem ko resnični vzrok sedi v besedilnem polju, kopiranem skupaj z vsem ostalim. IKEv2 prepozna peera po imenu, oba telefona pa predstavljata isto ime.
Identiteta je ključ, pod katerim te strežnik shranjuje
Znotraj izmenjave IKEv2 vsaka stran navede, kdo je: pobudnik pošlje lokalni identifikator, odgovoritelj odgovori s svojim in tudi preveri identiteto, ki jo zatrjuje pobudnik, glede na politiko. Prehod hrani stanje po identiteti, ne po napravi, ker naprava ni nekaj, kar lahko vidi. Zato dva telefona z enim identifikatorjem prideta kot en peer, druga izmenjava pa mora prepisati prvo. Težava se pokaže šele, ko se uporabljata oba, zato je test z enim telefonom nikoli ne ponovi.
Nič od tega ni napaka v odjemalcu. Odjemalec je poslal točno to, kar mu je profil ukazal.
Kako trčenje izgleda s prehoda
Opazujte seznam peerov, dokler sta oba telefona budna in v uporabi. Trčenje pokaže en vnos, katerega naslov se spreminja, ko se telefona izmenjujeta, števec aktivnih sej pa nikoli ne doseže dveh. Prekinitev na zahtevo je videti drugače, za razlikovanje pa je potrebno eno opazovanje, ne teorija.
| Observation | Shared identity | Idle teardown |
|---|---|---|
| Peer entries while both are awake | One, with a changing address | One per phone, or none |
| What triggers the drop | The other device connecting | Time without traffic |
| What restores it | The other device disconnecting | Any app needing the tunnel |
Zapišite oba dogodka s časovnimi žigi, ko se to dogaja. Prekinitev, ki sovpada s povezavo druge naprave, kaže na identifikator, prekinitev, ki pride en interval mirovanja po zadnjem paketu, pa na časovnik.
Od kod prihajajo dvojniki
Izvoz ene delujoče konfiguracije in urejanje samo naslova strežnika ustvari drugo datoteko, v kateri je identiteta prve datoteke še vedno znotraj. To je običajna pot do te okvare in se običajno zgodi pri hitrem uvajanju majhne skupine.
Imena polj olajšajo, da to spregledate. Oddaljeni identifikator poimenuje prehod, ki ga telefon pričakuje, in kopiranje je pravilno. Lokalni identifikator poimenuje to napravo pred prehodom, kopiranje te vrednosti pa je celotna težava.
Izdajte vrednost za vsako napravo
Uporabite nekaj edinstvenega za napravo in stabilnega skozi celotno življenjsko dobo, na primer identifikator naprave iz popisa ali vrednost, ki jo vaš sistem upravljanja ustvari ob vsaki registraciji. Oznaka oddelka, ime skupnega servisnega računa ali e-poštni naslov uporabnika trčijo, takoj ko ima ta oseba drugo napravo.
Ustvarite koristni tovor za vsako napravo namesto distribucije ene datoteke. Zabeležite, katera vrednost pripada kateri napravi, da zamenjava ne obnovi starega profila in ne vrže novega telefona naravnost v isto trčenje.
Preverite tudi strežniško stran. Prehod, ki identiteto preslika v fiksni naslov tunela, lahko še vedno trči, ko dva različna identifikatorja prejmeta isto dodelitev, zato potrdite, da ima nabor prostor in da dodelitve niso pripete na uporabnika.
Preverite z obema telefonoma budnima
Povežite prvega, dosezite zasebni vir, nato povežite drugega in pustite oba minuto neaktivna. Obe seji bi morali vztrajati, seznam peerov pa bi moral pokazati dve identiteti. Nato zaklenite in odklenite vsak telefon, da potrdite, da se primer mirovanja še vedno obnaša pravilno.
Če ena seja še vedno pade enkrat na dan, ne da bi se karkoli drugega povezalo, identiteta ni več osumljenec. Preidite na časovnike mirovanja in omejitve sej strežnika, namesto da bi profil znova urejali.