MOBIKE şəbəkə dəyişəndə IKEv2 VPN-i necə canlı saxlayır

Telefon Wi-Fi-dən ayrılıb mobil şəbəkəyə qoşulur, noutbuk Ethernet-dən hotspot-a keçir və IKEv2 tuneli ya davam edir, ya da etmir. MOBIKE onu davam etdirən uzantıdır: uzaq tərəfə mənbə ünvanının dəyişdiyini bildirir, hər şeyə yenidən başlamaq əvəzinə. Etmədiyi şey, dəyişiklik boyunca hər tətbiqi canlı saxlamaqdır. Bunlar iki iddiadır və insanların adətən nəzərdə tutduğu ikincisidir.

Keçidi mərhələlərlə izləyin, çünki hər mərhələ fərqli şəkildə uğursuz olur.

Yeniləmə əslində nəyi dəyişir

Təhlükəsizlik assosiasiyası hələ qüvvədə olduğu halda, təşəbbüskar öz yeni ünvanını öyrənir və cavab verən tərəfə yeniləmə göndərir; o da bu ünvanı həmin assosiasiya üçün istifadə edir. Təhlükəsizlik parametrləri sıfırdan yenidən razılaşdırılmır. Bütün fayda budur: yeni autentifikasiya raundu yox, yeni açar mübadiləsi yox, istifadəçi sorğusu yox. Bu həm də o deməkdir ki, sağ qalan vəziyyət hələ də köhnə sessiyaya aiddir.

MOBIKE trafiki UDP inkapsulyasiyasına da keçirə bilər; buna görə işləyən tunel bəzən şəbəkə dəyişikliyindən sonra 4500 portundan istifadə etməyə başlayır. Bu keçid özlüyündə NAT-ın aşkarlandığını sübut etmir, hərçənd ikisi tez-tez birlikdə görünür.

Profiliniz onu həqiqətən aktivləşdirirmi

Hər iki həmsöhbət uzantını dəstəkləməlidir və yerləşdirmə onu aktivləşdirməlidir. strongSwan-də davranış hər bağlantı üzrə konfiqurasiya edilə bilər və interfeys və ya marşrut dəyişiklikləri lazım olduqda yol axtarışını və yeniləməni tetikləyə bilər. Hər IKEv2 profilinin onu aktivləşdirdiyini fərz etmək əvəzinə bağlantının faktiki parametrlərini yoxlayın. Bu xüsusiyyətdən əvvəl yazılmış bələdçidən kopyalanmış profil bunun geniş yayılmış səbəbidir.

Hər iki tərəfdə razılaşdırılmış vəziyyət səlahiyyət mənbəyidir, məhsul ailəsinin sənədləri deyil.

Keçidi mərhələlərlə izləyin

Şəbəkələri dəyişməzdən əvvəl tətbiqin vəziyyətini qeyd edin. Sonra keçin və sonra müştəri və server vəziyyətini qeyd edin. İtmiş ünvan, əlçatmayan həmsöhbət və öz sessiyasını yenidən qoşmalı olan tətbiq üç fərqli nəticədir. Yalnız ilk ikisi VPN qatına aiddir; üçüncüsü tətbiqin danışdığı protokola aiddir.

Şəbəkə keçidini stasionar testlə müqayisə edin ki, hansı hadisənin problemi tetiklədiyini biləsiniz. Son şəbəkədə ötürmə ölçməsi keçidi təkrar yarada bilməz. O, təyinatı ölçür, səyahəti deyil.

Uğursuzluq qatlarını ayırın

Uzun ömürlü TCP sessiyası IKEv2 mübadiləsindən kənar səbəblərə görə uğursuz ola bilər. Yeni şəbəkə fərqli filtrləyə, fərqli həll edə və ya fərqli marşrutlaşdıra bilər. Tunel ünvanı heç dəyişməyə bilər, halbuki onun altındakı yol dəyişir. Buna görə tətbiqin yenidən qoşulması VPN-in heç vaxt pozmadığı bir şeyi düzəldə bilər.

Bərpa edərkən bloklama siyasətini də qüvvədə saxlayın.

Avtomatik mobillik və birbaşa trafiki qadağan edən qayda fərqli nəzarət mexanizmləridir və birincinin işləməsi üçün ikincini söndürmək pis bir mübadilədir. Mobillik yeniləməsi uğursuz olarsa, blok trafiki tunelin ətrafına sızdırmaq əvəzinə qüvvədə qalmalıdır.

Təkrarlandıqda nələri qeyd etməli

Hər iki tərəfdən vaxt damğalarını və hər iki ünvan dəyərini saxlayın. Bu qeyd yeniləmənin tətbiq əlaqəni itirməzdən əvvəl tamamlanıb-tamamlanmadığını göstərir; bu, mobillik xətası ilə tətbiq fasiləsi arasındakı fərqdir. Sonra keçid istiqamətini müqayisə edin: Wi-Fi-dən mobil şəbəkəyə çıxmaq əksi ilə simmetrik deyil. Bir istiqamət işləyə bilər, digəri uğursuz olur.

Bu asimmetriya ilk sınanacaq şey olacaq qədər yaygındır.

Qeyd əldə olanda hadisə artıq başqa bir qopmuş ikon olmaqdan çıxır və məlum sahibi olan ardıcıllıqda bir hadisəyə çevrilir. Bir bələdçinin vicdanla vəd edə biləcəyi də budur.