iPhone Always On VPN: tuneli mbili zinaweza kushiriki IP moja pepe

Kwenye iPhone inayosimamiwa na profaili ya Always On inayodhibitiwa, simu hushikilia tuneli kwa kila kiolesura cha IP kinachofanya kazi, kwa hivyo mtandao wa simu na Wi-Fi kila mmoja hupata yake. Seva kisha huorodhesha vyama viwili vya usalama vya IKE kwa kifaa kimoja, mara nyingi vikishiriki anwani moja pepe, na mwendo wa kwanza ni kuiita mzunguko wa rekey na kuanza kubadilisha vipima muda. Mwendo huo kwa kawaida si sahihi. Pitia hatua zilizo hapa chini kwa mpangilio ambamo ushahidi unaonekana kwenye seva, na uache mipangilio ya simu kwa utulivu hadi seva ikueleze ni kesi gani unayo.

Anza na mistari miwili ambayo seva tayari inayo

Orodhesha vyama kwa swanctl --list-sas na soma sehemu nne katika maingizo yote mawili: anwani ya mbali, utambulisho uliothibitishwa, IP pepe iliyotengwa na wakati wa kuunda. Anwani mbili tofauti za nje zenye utambulisho mmoja na IP moja pepe ni umbo lililoanzisha swali hili, na inafaa kuliandika kabla ya mabadiliko yoyote. Kisha angalia vyama vya watoto vilivyounganishwa na kila moja, kwa sababu vichaguzi vya trafiki huamua kama utafutaji wa mahali ungeweza kuwatofautisha tuneli hizo mbili. Jozi linalojitokeza na kutoweka ndani ya sekunde ni mnyama tofauti na jozi ambalo zote mbili zinaishi kwa saa.

Kabla ya kufikia hitimisho, panga orodha kwa wakati wa kuunda. Ukaribu katika matokeo hauna maana yoyote, na orodha ya jedwali inakaribisha kosa hilo hasa.

Amua ni mwingiliano upi unaouangalia

Rekey ya IKEv2 na uthibitishaji upya wa make-before-break huunda mwingiliano mfupi kwa makusudi, kwa kuanzisha chama kipya kabla ya kufuta cha zamani. Alama za muda huamua kesi, kwa sababu SA ya zamani inayotoweka sekunde moja au mbili baada ya mpya kuonekana ni uboreshaji unaofanya kazi yake. Tuneli huru za kiolesura hazionekani hivyo kamwe, kwa kuwa kila moja hudumu wakati kiolesura chake kiko juu, na kufuta kimoja hakutokani na kuunda kingine.

Tabia ya Always On inayodhibitiwa na Apple ni kwa kila kiolesura, ndiyo sababu kifaa kinachosimamiwa kinaweza kuonekana kihalali kuwa na shughuli nyingi kuliko profaili iliyowekwa kwa mkono. Kitufe cha kuunganisha kiotomatiki cha programu ya mtoa huduma hakimaanishi kitu kimoja, na kanuni ya kawaida ya on-demand pia haimaanishi. Muhtasari wa usambazaji wa Apple unaeleza muundo kwa kila kiolesura; linganisha mistari yako miwili nao kabla ya kudhani mzunguko. Maumbo yote mawili pia huchota kutoka dimbwi moja la seva, kwa hivyo mwingiliano ni ishara yako pekee ya mapema.

Ona kwa nini anwani moja pepe kwa tuneli mbili huvunja majibu

Jibu kwa simu linaelekezwa kwenye anwani ya ndani, na kerneli huchagua tuneli ya kutoka kwa lengo na sera, si kwa kiolesura ambacho simu ilitumia. Vyama viwili vya wakati mmoja vinavyoshikilia IP moja pepe na sera zinazolingana huiacha uamuzi wa uelekezaji bila njia ya kusema jibu ni la kikao gani. Baadhi ya majibu huchukua tuneli isiyo sahihi, na simu inaonyesha muunganisho unaofanya kazi upande mmoja au kufa Wi-Fi inapoinuka. Matokeo mawili ya amri yanathibitisha hali: swanctl --list-sas inaonyesha IP moja pepe kwenye SA zote mbili, na ip xfrm policy inaonyesha vichaguzi viwili vinavyofanana.

Jozi hilo la matokeo ndilo unalobandika kwenye kumbukumbu ya mabadiliko. Hakuna moja linaloshawishi peke yake, kwa sababu kila moja linaweza kuonekana la kuaminika peke yake.

Huu ni uelekezaji wa anwani na sera upande wa seva, si tabia mbaya ya simu, na hakuna mpangilio wa mteja unaotenganisha anwani mbili za ndani zinazofanana. Dimbwi lilitoa thamani ile ile mara mbili na kisakinishi cha sera liliikubali. Soma matokeo kutoka upande wa seva kabla ya kulaumu mteja.

Badilisha dimbwi au muundo wa ushirikiano, si kipima muda cha rekey

Katika usanidi wa swanctl, upekee ni sera iliyo wazi kwenye muunganisho: unique = replace huondoa muunganisho wa zamani muunganisho mpya unapowekwa, na unique = keep humkataa anayefika mpya. Thamani zote mbili hufanya kazi wakati muunganisho unawekwa, si kwa SA za watoto ndani yake.

connections {
  ios-alwayson {
    unique = replace
  }
}

Hakuna thamani iliyo ya upande wowote kwa mteja kwa kila kiolesura. keep hurudisha skrini ya hali iliyo nadhifu kwa kukataa tuneli ya pili na huvunja muundo unaodhibitiwa, wakati replace huangusha tuneli ya zamani na ni maelewano yale yale kwa upande mwingine. Ikiwa tuneli zote mbili zinahitajika kweli, backend ya dimbwi lazima itoe ukodishaji tofauti kwa utambulisho mmoja, na ufunguo wake wa ukodishaji lazima utofautishe maombi. Jedwali tuli la utambulisho-kwa-anwani litarejesha anwani ile ile mara mbili kwa furaha na litazalisha tatizo la awali kwa usanidi zaidi. Angalia jinsi backend inavyofungua ukodishaji kabla ya kuongeza ramani ya pili tuli.

Jaribu mabadiliko unayoyasambaza kweli

Toka nje ya masafa ya Wi-Fi ukiwa na kikao kinachofanya kazi, kisha rudi ndani, na angalia kwamba majibu yanawasili pande zote mbili. Fanya hivyo mara mbili, kwa sababu mabadiliko ya pili ndipo sera iliyopitwa na wakati hujitokeza kwa kawaida. Jaribu na huduma inayojibu kwenye muunganisho ulioufungua, na urudie kutoka nje wakati tuneli inabeba trafiki badala ya kukaa bila kazi. Simu inayoweza kutuma lakini si kupokea inaonekana mzima kwenye kumbukumbu ya handshake na imevunjika kwenye kivinjari.

Skrini ya hali iliyopunguzwa hadi mstari mmoja si ushahidi wa muundo unaofanya kazi, ni ushahidi tu kwamba tuneli moja imeondoka. Pande zote mbili lazima zifanye kazi kabla mabadiliko kupita. Andika uliyoona, pamoja na matokeo mawili ya ukaguzi wa mwingiliano, ili mhandisi anayefuata aweze kulinganisha badala ya kurudia matembezi.