Jak MOBIKE udržuje VPN IKEv2 v chodu při změně sítě

Telefon opustí Wi-Fi a připojí se k mobilní síti, notebook přejde z Ethernetu na hotspot a tunel IKEv2 buď přežije, nebo ne. MOBIKE je rozšíření, které ho nechá přežít tím, že vzdálené straně oznámí změnu zdrojové adresy, místo aby se začínalo znovu. Co neudělá, je udržet každou aplikaci živou během změny. To jsou dvě tvrzení a druhé je to, co lidé obvykle míní.

Projděte přechod po etapách, protože každá etapa selhává jinak.

Co aktualizace skutečně mění

Dokud je bezpečnostní asociace stále platná, iniciátor zjistí svou novou adresu a pošle aktualizaci respondérovi, který pak tuto adresu použije pro stejnou asociaci. Bezpečnostní parametry se nevyjednávají znovu od nuly. To je celý přínos: žádné nové kolo ověřování, žádná nová výměna klíčů, žádný dotaz na uživatele. Znamená to také, že přežívající stav stále patří staré relaci.

MOBIKE dokáže přesunout provoz i do zapouzdření UDP, a proto funkční tunel někdy po změně sítě začne používat port 4500. Tento přechod sám o sobě nedokazuje, že bylo zjištěno NAT, i když se obojí často objevuje společně.

Zapíná ho váš profil opravdu

Oba protějšky musí rozšíření podporovat a nasazení ho musí zapnout. V strongSwanu je chování konfigurovatelné pro každé spojení a změny rozhraní nebo trasy mohou vyvolat hledání cesty a aktualizaci, když je potřeba. Prohlédněte si skutečná nastavení spojení, místo abyste předpokládali, že ho každý profil IKEv2 zapíná. Profil zkopírovaný z návodu, který tuto funkci předchází, je častým zdrojem tohoto.

Vyjednaný stav na obou stranách je autorita, nikoli dokumentace produktové řady.

Projděte přechod po etapách

Zaznamenejte stav aplikace před změnou sítě. Potom se přesuňte a následně zaznamenejte stav klienta a serveru. Chybějící adresa, nedostupný protějšek a aplikace, která musí sama znovu připojit svou relaci, jsou tři různé výsledky. Jen první dva patří do vrstvy VPN; třetí patří protokolu, kterým aplikace mluví.

Porovnejte přepnutí sítě se stacionárním testem, abyste věděli, která událost problém spouští. Měření propustnosti v konečné síti nemůže přechod reprodukovat. Měří cíl, nikoli cestu.

Oddělte vrstvy selhání

Dlouhotrvající relace TCP může selhat z důvodů mimo výměnu IKEv2. Nová síť může filtrovat, překládat nebo směrovat jinak. Adresa tunelu se nemusí změnit vůbec, zatímco cesta pod ní ano. Proto může nové připojení aplikace opravit něco, co VPN nikdy neporouchala.

Nechte blokovací politiku na místě i při obnově.

Automatická mobilita a pravidlo bránící přímému provozu jsou různé kontroly a vypnout druhou, aby první fungovala, je špatná výměna. Pokud aktualizace mobility selže, blok by měl držet, místo aby propouštěl provoz kolem tunelu.

Co zaznamenat, když se to opakuje

Uchovejte časové značky a obě hodnoty adres z obou stran. Tento záznam ukazuje, zda se aktualizace dokončila dřív, než aplikace ztratila kontakt, což je rozdíl mezi chybou mobility a časovým limitem aplikace. Pak porovnejte směr přepnutí: odchod z Wi-Fi na mobilní síť není symetrický s opakem. Jeden směr může fungovat, zatímco druhý selhává.

Tato asymetrie je natolik běžná, že by měla být první věcí, kterou testujete.

Se záznamem v ruce přestává být incident další odpojená ikona a stává se jednou událostí v posloupnosti se známým vlastníkem. A to je vše, co procházka může poctivě slíbit.