Як MOBIKE падтрымлівае VPN IKEv2 пры змене сеткі

Тэлефон пакідае Wi-Fi і далучаецца да сотавай сеткі, ноўтбук пераходзіць з Ethernet на кропку доступу, і тунель IKEv2 або вытрымлівае, або не. MOBIKE — гэта пашырэнне, якое дазваляе яму вытрымаць: яно паведамляе далёкаму боку, што адрас крыніцы змяніўся, замест таго каб пачынаць спачатку. Чаго яно не робіць — не захоўвае працу кожнай праграмы падчас змены. Гэта два сцвярджэнні, і другое з іх звычайна і маюць на ўвазе.

Разбіце пераход на этапы, бо кожны этап адмаўляе па-рознаму.

Што насамрэч змяняе абнаўленне

Пакуль асацыяцыя бяспекі яшчэ сапраўдная, ініцыятар даведаецца пра свой новы адрас і дасылае абнаўленне адказніку, які затым выкарыстоўвае гэты адрас для той жа асацыяцыі. Параметры бяспекі не перагаворваюцца з нуля. У гэтым уся выгада: ні новага раўнда аўтэнтыфікацыі, ні новага абмену ключамі, ні запыту да карыстальніка. Гэта таксама азначае, што ацалелы стан па-ранейшаму належыць старому сеансу.

MOBIKE можа таксама пераносіць трафік на інкапсуляцыю UDP, і менавіта таму працаздольны тунель часам пачынае выкарыстоўваць порт 4500 пасля змены сеткі. Гэты пераход сам па сабе не даказвае, што NAT выяўлены, хоць абое часта з'яўляюцца разам.

Ці сапраўды ваш профіль уключае гэта

Абодва бакі павінны падтрымліваць пашырэнне, і разгортванне павінна яго ўключыць. У strongSwan паводзіны наладжваецца для кожнага злучэння, а змены інтэрфейсу або маршруту могуць запускаць пошук шляху і абнаўленне, калі трэба. Праверце фактычныя налады злучэння, а не дапускайце, што кожны профіль IKEv2 уключае яго. Профіль, скапіяваны з кіраўніцтва, якое старэйшае за гэтую функцыю, — частая прычына гэтага.

Узгоднены стан на абодвух баках — гэта аўтарытэт, а не дакументацыя сямейства прадуктаў.

Разбіце пераход на этапы

Запішыце стан праграмы перад зменай сетак. Затым змяніце і запішыце стан кліента і сервера пасля. Адсутны адрас, недасяжны апанент і праграма, якая павінна сама перападключыць свой сеанс, — тры розныя вынікі. Толькі першыя два належаць да ўзроўню VPN; трэці належыць да таго пратаколу, на якім размаўляе праграма.

Параўнайце пераключэнне сеткі з нерухомым тэстам, каб ведаць, якая падзея выклікае праблему. Вымярэнне прапускной здольнасці ў канчатковай сетцы не можа адтварыць пераход. Яно вымярае пункт прызначэння, а не дарогу.

Аддзяліце ўзроўні адмовы

Доўгатэрміновы сеанс TCP можа адмовіць па прычынах па-за абменам IKEv2. Новая сетка можа фільтраваць, развязаць або маршрутызаваць інакш. Адрас тунеля можа не змяніцца зусім, пакуль шлях пад ім змяняецца. Вось чаму перападключэнне праграмы можа выправіць тое, што VPN ніколі не ламаў.

Трымайце палітыку блакавання на месцы падчас аднаўлення таксама.

Аўтаматычная мабільнасць і правіла, якое прадухіляе прамы трафік, — розныя сродкі кантролю, і адключаць другое, каб працавала першае, — дрэнны абмен. Калі абнаўленне мабільнасці не ўдаецца, блакаванне павінна ўтрымацца, а не выпусціць трафік вакол тунеля.

Што запісваць, калі гэта паўтараецца

Захоўвайце адзнакі часу і абодва значэнні адрасоў з абодвух бакоў. Гэты запіс паказвае, ці завяршылася абнаўленне да таго, як праграма страціла кантакт; гэта розніца паміж памылкай мабільнасці і тайм-аўтам праграмы. Затым параўнайце кірунак пераключэння: выхад з Wi-Fi у сотавую сетку не сіметрычны з адваротным. Адзін кірунак можа працаваць, пакуль другі адмаўляе.

Гэтая асіметрыя дастаткова распаўсюджаная, каб быць першым, што трэба тэсціраваць.

Маючы запіс на руках, інцыдэнт перастае быць чарговай адключанай іконкай і становіцца адной падзеяй у паслядоўнасці з вядомым уладальнікам. І гэта ўсё, што можа сумленна абяцаць праход.