Как MOBIKE поддържа VPN IKEv2 жив при смяна на мрежата

Телефон напуска Wi-Fi и се присъединява към мобилната мрежа, лаптоп преминава от Ethernet към гореща точка, а тунелът IKEv2 или оцелява, или не. MOBIKE е разширението, което му позволява да оцелее, като съобщава на отдалечения край, че адресът на източника се е променил, вместо да започва отначало. Това, което не прави, е да поддържа живо всяко приложение по време на промяната. Това са две твърдения и второто обикновено е това, което хората имат предвид.

Разгледайте прехода на етапи, защото всеки етап се проваля по различен начин.

Какво всъщност променя обновяването

Докато асоциацията за сигурност е все още валидна, инициаторът научава новия си адрес и изпраща обновяване до ответника, който след това използва този адрес за същата асоциация. Параметрите за сигурност не се преговарят наново от нулата. Това е цялата полза: без нов кръг на удостоверяване, без нов обмен на ключове, без подкана към потребителя. Това също означава, че оцелялото състояние все още принадлежи на старата сесия.

MOBIKE може също да премести трафика към UDP инкапсулация и затова работещ тунел понякога започва да използва порт 4500 след смяна на мрежата. Този преход сам по себе си не доказва, че NAT е открит, макар двете често да се появяват заедно.

Вашият профил наистина ли го включва

И двете страни трябва да поддържат разширението и внедряването трябва да го включи. В strongSwan поведението се конфигурира за всяка връзка и промените на интерфейса или маршрута могат да задействат търсене на път и обновяване, когато е необходимо. Проверете действителните настройки на връзката, вместо да предполагате, че всеки профил IKEv2 го включва. Профил, копиран от ръководство, което предхожда функцията, е често срещана причина за това.

Съгласуваното състояние от двете страни е авторитетът, а не документацията за семейството продукти.

Разгледайте прехода на етапи

Запишете състоянието на приложението, преди да смените мрежите. След това преминете и запишете състоянието на клиента и сървъра след това. Липсващ адрес, недостъпен партньор и приложение, което трябва само да пресвърже сесията си, са три различни изхода. Само първите два принадлежат на VPN слоя; третият принадлежи на протокола, на който говори приложението.

Сравнете смяна на мрежата с неподвижен тест, за да знаете кое събитие задейства проблема. Измерване на пропускателната способност в крайната мрежа не може да възпроизведе преход. То измерва дестинацията, а не пътуването.

Разделете слоевете на отказ

Дълготрайна TCP сесия може да се провали по причини извън обмена IKEv2. Новата мрежа може да филтрира, разрешава или маршрутизира по различен начин. Адресът на тунела може да не се промени изобщо, докато пътят под него се променя. Ето защо пресвързването на приложението може да поправи нещо, което VPN никога не е развалял.

Задръжте блокиращата политика на място, докато се възстановявате, също.

Автоматичната мобилност и правилото, което предотвратява директния трафик, са различни средства за контрол и изключването на второто, за да работи първото, е лоша размяна. Ако обновяването на мобилността се провали, блокирането трябва да се задържи, вместо да изпусне трафик около тунела.

Какво да запишете, когато се повтори

Запазете времената и двете стойности на адреса от двете страни. Този запис показва дали обновяването е завършило, преди приложението да загуби връзка, което е разликата между грешка в мобилността и изчакване на приложението. След това сравнете посоката на превключване: излизането от Wi-Fi към мобилната мрежа не е симетрично с обратното. Една посока може да работи, докато другата се проваля.

Тази асиметрия е достатъчно честа, за да бъде първото нещо, което тествате.

Със записа в ръка инцидентът престава да бъде поредната икона с прекъсната връзка и става едно събитие в последователност с известен собственик. Което е всичко, което едно ръководство може честно да обещае.