Kako MOBIKE održava IKEv2 VPN aktivnim kada se mreža promijeni

Telefon napušta Wi-Fi i pridružuje se mobilnoj mreži, laptop prelazi s Ethernet na pristupnu točku, a IKEv2 tunel ili preživljava ili ne. MOBIKE je ekstenzija koja mu omogućava da preživi, javljajući udaljenoj strani da se izvorna adresa promijenila umjesto da počinje ispočetka. Ono što ne radi jest održavanje svake aplikacije aktivnom kroz promjenu. To su dvije tvrdnje, a druga je ono što ljudi obično misle.

Prođite kroz prijelaz u fazama, jer svaka faza ne uspijeva na drugačiji način.

Šta ažuriranje zapravo mijenja

Dok je sigurnosna asocijacija još valjana, inicijator saznaje svoju novu adresu i šalje ažuriranje respondentu, koji zatim koristi tu adresu za istu asocijaciju. Sigurnosni parametri se ne pregovaraju iznova od nule. To je cijela korist: nema novog kruga autentifikacije, nema nove razmjene ključeva, nema upita korisniku. To također znači da preživjelo stanje još uvijek pripada staroj sesiji.

MOBIKE također može premjestiti saobraćaj na UDP enkapsulaciju, zbog čega radni tunel ponekad počne koristiti port 4500 nakon promjene mreže. Taj prijelaz sam po sebi ne dokazuje da je NAT otkriven, iako se to dvoje često pojavljuje zajedno.

Da li ga vaš profil zaista omogućava

Oba partnera moraju podržavati ekstenziju, a implementacija je mora omogućiti. U strongSwanu je ponašanje konfigurabilno po vezi, a promjene sučelja ili rute mogu pokrenuti pretragu puta i ažuriranje kada je potrebno. Provjerite stvarne postavke veze umjesto da pretpostavljate da svaki IKEv2 profil to uključuje. Profil kopiran iz vodiča koji je stariji od ove funkcije čest je izvor ovoga.

Pregovoreno stanje na oba kraja je autoritet, a ne dokumentacija za porodicu proizvoda.

Prođite kroz prijelaz u fazama

Zabilježite stanje aplikacije prije premještanja mreža. Zatim se premjestite i nakon toga zabilježite stanje klijenta i servera. Adresa koja nedostaje, nedostupni partner i aplikacija koja mora sama ponovo povezati svoju sesiju tri su različita ishoda. Samo prva dva pripadaju VPN sloju; treći pripada onom protokolu kojim aplikacija govori.

Uporedite prebacivanje mreže sa stacionarnim testom, da biste znali koji događaj izaziva problem. Mjerenje propusnosti na konačnoj mreži ne može reproducirati prijelaz. Ono mjeri odredište, a ne putovanje.

Razdvojite slojeve kvara

Dugotrajna TCP sesija može pasti iz razloga izvan IKEv2 razmjene. Nova mreža može filtrirati drugačije, razriješiti drugačije ili usmjeravati drugačije. Adresa tunela možda se uopšte ne mijenja dok se put ispod nje mijenja. Zato ponovno povezivanje aplikacije može popraviti nešto što VPN nikada nije pokvario.

Držite politiku blokiranja na mjestu i dok se oporavljate.

Automatska mobilnost i pravilo koje sprječava direktan saobraćaj različite su kontrole, a isključivanje druge da bi prva radila loša je razmjena. Ako ažuriranje mobilnosti ne uspije, blok bi trebao ostati, umjesto da propušta saobraćaj oko tunela.

Šta zabilježiti kada se ponovi

Sačuvajte vremenske oznake i obje vrijednosti adresa s obje strane. Taj zapis pokazuje da li je ažuriranje završeno prije nego što je aplikacija izgubila kontakt, što je razlika između kvara mobilnosti i vremenskog isteka aplikacije. Zatim uporedite smjer prebacivanja: odlazak s Wi-Fi na mobilnu mrežu nije simetričan s obrnutim. Jedan smjer može raditi dok drugi ne uspijeva.

Ta asimetrija je dovoljno česta da bude prva stvar koju treba testirati.

Sa zapisom u ruci, incident prestaje biti još jedna isključena ikona i postaje jedan događaj u nizu s poznatim vlasnikom. Što je sve što jedan vodič može iskreno obećati.