كيف يُبقي MOBIKE اتصال IKEv2 VPN حيّاً عند تغيّر الشبكة

يترك هاتف شبكة Wi-Fi وينضم إلى الشبكة الخلوية، وينتقل حاسوب محمول من Ethernet إلى نقطة اتصال، وإما أن يصمد نفق IKEv2 أو لا يصمد۔ MOBIKE هو الامتداد الذي يجعله يصمد، بأن يبلّغ الطرف البعيد بأن عنوان المصدر قد تغيّر بدلاً من البدء من جديد۔ ما لا يفعله هو إبقاء كل تطبيق حياً خلال التغيير۔ هذان ادّعاءان، والثاني هو ما يعنيه الناس عادةً۔

تتبّع الانتقال على مراحل، لأن كل مرحلة تفشل بطريقة مختلفة۔

ما الذي يغيّره التحديث فعلاً

ما دام ارتباط الأمان صالحاً، يتعلّم الطرف البادئ عنوانه الجديد ويرسل تحديثاً إلى الطرف المستجيب، الذي يستخدم بعد ذلك ذلك العنوان للارتباط نفسه۔ لا يُعاد التفاوض على معاملات الأمان من الصفر۔ وهذه هي الفائدة كلها: لا جولة مصادقة جديدة، ولا تبادل مفاتيح جديد، ولا مطالبة للمستخدم۔ ويعني أيضاً أن الحالة الصامدة ما تزال تنتمي إلى الجلسة القديمة۔

يستطيع MOBIKE أيضاً نقل الحركة إلى تغليف UDP، ولهذا يبدأ نفق عامل أحياناً باستخدام المنفذ 4500 بعد تغيّر الشبكة۔ ذلك الانتقال لا يثبت بحد ذاته أن NAT قد اكتُشف، وإن كان الاثنان يظهران معاً غالباً۔

هل يُفعّله ملفك الشخصي فعلاً

يجب أن يدعم الطرفان الامتداد، ويجب أن يُفعّله النشر۔ في strongSwan يكون السلوك قابلاً للضبط لكل اتصال، ويمكن لتغيّرات الواجهة أو المسار أن تُطلق بحثاً عن مسار وتحديثاً عند الحاجة۔ افحص الإعدادات الفعلية للاتصال بدلاً من افتراض أن كل ملف IKEv2 يُفعّله۔ والملف المنسوخ من دليل سبق هذه الميزة سبب شائع لذلك۔

الحالة المتفاوض عليها عند الطرفين هي المرجع، لا وثائق عائلة المنتج۔

تتبّع الانتقال على مراحل

سجّل حالة التطبيق قبل تغيير الشبكة۔ ثم غيّرها، وسجّل حالة العميل والخادم بعد ذلك۔ العنوان المفقود والنظير غير القابل للوصول والتطبيق الذي يجب أن يعيد توصيل جلسته بنفسه ثلاث نتائج مختلفة۔ الأولان فقط ينتميان إلى طبقة VPN؛ والثالث ينتمي إلى أي بروتوكول يتحدثه التطبيق۔

قارن تبديل الشبكة باختبار ثابت، لتعرف أي حدث يُطلق المشكلة۔ قياس الإنتاجية على الشبكة النهائية لا يستطيع إعادة إنتاج انتقال۔ إنه يقيس الوجهة، لا الرحلة۔

افصل طبقات الفشل

قد تفشل جلسة TCP طويلة العمر لأسباب خارج تبادل IKEv2۔ قد تُصفّي الشبكة الجديدة بشكل مختلف، أو تُحلّل بشكل مختلف، أو تُوجّه بشكل مختلف۔ قد لا يتغيّر عنوان النفق إطلاقاً بينما يتغيّر المسار تحته۔ ولهذا يمكن لإعادة توصيل التطبيق أن تصلح شيئاً لم يكسره VPN إطلاقاً۔

أبقِ سياسة الحجب في مكانها أثناء تعافيك أيضاً۔

التنقّل التلقائي وقاعدة تمنع الحركة المباشرة أداتان مختلفتان، وتعطيل الثانية لتعمل الأولى مقايضة سيئة۔ إذا فشل تحديث التنقّل، فيجب أن تصمد القاعدة بدلاً من تسريب الحركة حول النفق۔

ما الذي تسجّله عندما يتكرر

احتفظ بالطوابع الزمنية وبقيمتي العنوان من الطرفين۔ يُظهر ذلك السجل ما إذا كان التحديث قد اكتمل قبل أن يفقد التطبيق الاتصال، وهو الفرق بين خلل تنقّل ومهلة تطبيق۔ ثم قارن اتجاه التبديل: الخروج من Wi-Fi إلى الشبكة الخلوية ليس متماثلاً مع العكس۔ يمكن أن ينجح اتجاه بينما يفشل الآخر۔

هذا التباين شائع بما يكفي ليكون أول ما تختبره۔

بالسجل في اليد، يتوقف الحادث عن أن يكون أيقونة أخرى مفصولة ويصبح حدثاً واحداً في تسلسل له مالك معروف۔ وهذا كل ما يمكن لجولة إرشادية أن تَعِده بصدق۔