iPhone Always On VPN: ikki tunnel bitta virtual IPni bo'lishishi mumkin

Boshqariladigan Always On profili bo'lgan nazorat ostidagi iPhone'da telefon har bir faol IP interfeys uchun tunnel tutadi, shuning uchun uyali aloqa va Wi-Fi har biri o'zini oladi. Keyin server bitta qurilma uchun ikkita IKE xavfsizlik assotsiatsiyasini sanab o'tadi, ko'pincha bitta virtual manzilni bo'lishadi, va birinchi turtki buni rekey halqasi deb atash va taymerlarni o'zgartirishni boshlashdir. Bu turtki odatda noto'g'ri. Quyidagi qadamlarni dalillar serverda paydo bo'lish tartibida bajaring va server qaysi holat ekanini aytmaguncha telefon sozlamalariga tegmasang.

Serverda allaqachon bor ikki qatordan boshlang

Assotsiatsiyalarni swanctl --list-sas bilan sanab o'ting va ikkala yozuvda to'rtta maydonni o'qing: uzoq manzil, tasdiqlangan identifikatsiya, berilgan virtual IP va yaratilish vaqti. Bitta identifikatsiya va bitta virtual IP bilan ikki xil tashqi manzil bu savolni boshlagan shakl, va har qanday o'zgarishdan oldin uni yozib qo'yishga arziydi. Keyin har biriga ulangan bola assotsiatsiyalarni tekshiring, chunki trafik selektorlari maqsad qidiruvi ikki tunnelni qachondir ajrata olishini hal qiladi. Bir necha soniyada paydo bo'lib yo'qoladigan juftlik soatlab yashaydigan juftlikdan boshqa jonivor.

Xulosa chiqarishdan oldin ro'yxatni yaratilish vaqti bo'yicha tartiblang. Chiqishdagi qo'shnilik hech narsani anglatmaydi, jadval shaklidagi ro'yxat esa aynan shu xatoga chorlaydi.

Qaysi ustma-ustlikni ko'rayotganingizni aniqlang

IKEv2 rekey va make-before-break qayta autentifikatsiya ataylab qisqa ustma-ustlik yaratadi, eski assotsiatsiyani o'chirishdan oldin yangisini o'rnatib. Vaqt belgilari masalani hal qiladi, chunki yangisi paydo bo'lganidan bir-ikki soniya o'tib yo'qoladigan eski SA o'z ishini qilayotgan yangilanish. Mustaqil interfeys tunnellari hech qachon bunday ko'rinmaydi, chunki har biri o'z interfeysi ishlab turganicha saqlanadi, va birini o'chirish ikkinchisini yaratishdan kelib chiqmaydi.

Apple'ning boshqariladigan Always On xatti-harakati interfeys bo'yicha, shuning uchun nazorat ostidagi qurilma qo'lda sozlangan profildan qonuniy ravishda bandroq ko'rinishi mumkin. Provayder ilovasining avtomatik ulanish tugmasi xuddi shu narsani anglatmaydi, oddiy on-demand qoidasi ham anglatmaydi. Apple'ning joylashtirish sharhi interfeys bo'yicha modelni tasvirlaydi; halqa deb o'ylashdan oldin ikki qatoringizni u bilan solishtiring. Ikkala shakl ham bir xil server hovuzidan oladi, shuning uchun ustma-ustlik sizning yagona erta signalingiz.

Nega bitta virtual manzil ikki tunnelning javoblarini buzishini ko'ring

Telefonga javob ichki manzilga yo'naltiriladi, yadro esa chiqish tunnelini maqsad va siyosat bo'yicha tanlaydi, telefon ishlatgan interfeys bo'yicha emas. Bir xil virtual IP va mos keladigan siyosatlarga ega ikki bir vaqtli assotsiatsiya javob qaysi sessiyaga tegishli ekanini aytish yo'lisiz marshrutlash qarorini qoldiradi. Ba'zi javoblar noto'g'ri tunnelga tushadi, telefon esa bir yo'nalishda ishlaydigan yoki Wi-Fi ko'tarilganda o'ladigan ulanishni ko'rsatadi. Ikki buyruq chiqishi holatni isbotlaydi: swanctl --list-sas ikkala SA da bir xil virtual IP ni ko'rsatadi, ip xfrm policy esa ikkita bir xil selektorni ko'rsatadi.

Aynan shu chiqish juftini o'zgarish yozuviga qo'yasiz. Hech biri yolg'iz ishontirmaydi, chunki har biri alohida ishonchli ko'rinishi mumkin.

Bu server tomonidagi manzillash va siyosat, telefonning noto'g'ri xatti-harakati emas, va hech qanday klient sozlamasi ikki bir xil ichki manzilni ajratmaydi. Hovuz bir xil qiymatni ikki marta berdi va siyosat o'rnatuvchisi uni qabul qildi. Klientni ayblashdan oldin natijani server tomonidan o'qing.

Hovuz yoki parallellik modelini o'zgartiring, rekey taymerini emas

swanctl konfiguratsiyasida yagonalik ulanishdagi aniq siyosat: unique = replace yangisi o'rnatilganda eski ulanishni olib tashlaydi, unique = keep esa yangi kelganni rad etadi. Ikkala qiymat ham ulanish o'rnatilayotganda ishlaydi, uning ichidagi bola SA larda emas.

connections {
  ios-alwayson {
    unique = replace
  }
}

Hech bir qiymat interfeys bo'yicha klient uchun betaraf emas. keep ikkinchi tunnelni rad etib tartibli holat ekranini qaytaradi va boshqariladigan dizaynni buzadi, replace esa eski tunnelni yiqitadi va bu qarama-qarshi yo'nalishdagi o'sha murosa. Agar ikkala tunnel haqiqatan kerak bo'lsa, hovuzning orqa qismi bitta identifikatsiya uchun alohida ijaralar berishi kerak, va uning ijara kaliti so'rovlarni ajratishi kerak. Statik identifikatsiya-manzil jadvali bir xil manzilni ikki marta qaytaradi va asl muammoni ko'proq konfiguratsiya bilan takrorlaydi. Ikkinchi statik xaritalashni qo'shishdan oldin orqa qism ijaralarni qanday kalitlashini tekshiring.

Haqiqatan joriy qiladigan o'tishlaringizni sinab ko'ring

Faol sessiya bilan Wi-Fi qamrovidan chiqing, keyin qaytib keling, va javoblar ikki yo'nalishda ham kelishini tekshiring. Buni ikki marta qiling, chunki eskirgan siyosat odatda ikkinchi o'tishda paydo bo'ladi. Siz ochgan ulanishda javob beradigan xizmat bilan sinab ko'ring, va tunnel bo'sh turmasdan trafik tashiyotganda chiqishni takrorlang. Yubora oladigan, lekin qabul qila olmaydigan telefon handshake jurnalida sog'lom, brauzerda esa buzilgan ko'rinadi.

Bitta qatorga qisqartirilgan holat ekrani ishlaydigan dizaynning isboti emas, faqat bitta tunnel ketganining isboti. O'tish o'tishi uchun ikkala yo'nalish ham ishlashi kerak. Kuzatganlaringizni ustma-ustlik tekshiruvining ikki chiqishi bilan birga yozib qo'ying, shunda keyingi muhandis takrorlash o'rniga solishtira oladi.