Hoe MOBIKE 'n IKEv2-VPN lewendig hou wanneer die netwerk verander

'n Foon verlaat Wi-Fi en sluit by sellulêr aan, 'n skootrekenaar beweeg van Ethernet na 'n hotspot, en die IKEv2-tonnel oorleef of oorleef nie. MOBIKE is die uitbreiding wat dit laat oorleef, deur vir die verre kant te sê dat die bronadres verander het eerder as om van voor af te begin. Wat dit nie doen nie, is om elke toepassing deur die oorgang lewendig te hou. Dit is twee stellings, en die tweede een is gewoonlik die een wat mense bedoel.

Gaan die oorgang in fases deur, want elke fase misluk anders.

Wat die opdatering werklik verander

Terwyl die sekuriteitsassosiasie nog geldig is, leer die inisieerder sy nuwe adres en stuur 'n opdatering aan die reageerder, wat dan daardie adres vir dieselfde assosiasie gebruik. Die sekuriteitsparameters word nie van voor af heronderhandel nie. Dit is die hele voordeel: geen nuwe verifikasierondte, geen nuwe sleuteluitruiling, geen gebruikeropdrag. Dit beteken ook die oorlewende toestand behoort steeds aan die ou sessie.

MOBIKE kan ook verkeer na UDP-inkapseling skuif, en daarom begin 'n werkende tonnel soms poort 4500 gebruik ná 'n netwerkverandering. Daardie oorgang bewys op sigself nie dat NAT opgespoor is nie, selfs al verskyn die twee dikwels saam.

Het jou profiel dit regtig geaktiveer

Albei eweknieë moet die uitbreiding ondersteun, en die ontplooiing moet dit aktiveer. In strongSwan is die gedrag per verbinding verstelbaar, en koppelvlak- of roete-veranderinge kan 'n padsoektog en 'n opdatering nodig maak wanneer nodig. Ondersoek die verbinding se werklike instellings eerder as om aan te neem elke IKEv2-profiel skakel dit aan. 'n Profiel wat uit 'n gids gekopieer is wat voor die funksie bestaan het, is 'n algemene oorsaak hiervan.

Die onderhandelde toestand aan albei kante is die outoriteit, nie die dokumentasie vir die produkfamilie nie.

Gaan die oorgang in fases deur

Teken die toepassing se toestand op voor jy netwerke wissel. Wissel dan, en teken daarna die kliënt- en bediener-toestand op. 'n Ontbrekende adres, 'n onbereikbare eweknie en 'n toepassing wat sy eie sessie moet herverbind is drie verskillende uitkomste. Net die eerste twee hoort by die VPN-laag; die derde hoort by watter protokol die toepassing ook al gebruik.

Vergelyk 'n netwerkwissel met 'n stilstaande toets, sodat jy weet watter gebeurtenis die probleem veroorsaak. 'n Deursetmeting op die finale netwerk kan nie 'n oorgang weerspieël nie. Dit meet die bestemming, nie die reis nie.

Skei die foutlae

'n Langdurige TCP-sessie kan misluk weens redes buite die IKEv2-uitruiling. Die nuwe netwerk kan anders filter, anders resolveer of anders roeteer. Die tonneladres mag glad nie verander nie, terwyl die pad onder dit wel verander. Daarom kan 'n herverbinding van die toepassing iets regstel wat die VPN nooit gebreek het nie.

Hou die blokkeerbeleid in plek terwyl jy herstel, ook.

Outomatiese mobiliteit en 'n reël wat direkte verkeer voorkom is verskillende beheermiddels, en om die tweede uit te skakel sodat die eerste werk, is 'n slegte ruil. As die mobiliteitsopdatering misluk, moet die blok hou eerder as om verkeer om die tonnel te lek.

Wat om op te teken wanneer dit herhaal

Behou tydstempels en albei adreswaardes van albei kante. Daardie rekord wys of die opdatering voltooi is voordat die toepassing kontak verloor het, wat die verskil is tussen 'n mobiliteitsfout en 'n toepassing-tydsverloop. Vergelyk dan die wisselrigting: om Wi-Fi vir sellulêr te verlaat is nie simmetries met die omgekeerde nie. Een rigting kan werk terwyl die ander misluk.

Daardie asimmetrie is algemeen genoeg om die eerste ding te wees wat jy toets.

Met die rekord in die hand ophou die voorval om nog 'n ontkoppelde ikoon te wees en word dit een gebeurtenis in 'n reeks met 'n bekende eienaar. Wat alles is wat 'n deurloop eerlik kan belowe.