Wie MOBIKE ein IKEv2-VPN am Leben hält, wenn das Netzwerk wechselt

Ein Telefon verlässt das WLAN und wechselt ins Mobilfunknetz, ein Laptop wechselt von Ethernet zu einem Hotspot, und der IKEv2-Tunnel überlebt oder eben nicht. MOBIKE ist die Erweiterung, die ihn überleben lässt, indem sie der Gegenseite mitteilt, dass sich die Quelladresse geändert hat, statt neu anzufangen. Was sie nicht tut, ist, jede Anwendung während des Wechsels am Leben zu halten. Das sind zwei Behauptungen, und die zweite ist die, die Leute normalerweise meinen.

Gehen Sie den Übergang in Etappen durch, denn jede Etappe scheitert anders.

Was die Aktualisierung wirklich ändert

Solange die Sicherheitsassoziation noch gültig ist, erfährt der Initiator seine neue Adresse und sendet eine Aktualisierung an den Responder, der diese Adresse dann für dieselbe Assoziation verwendet. Die Sicherheitsparameter werden nicht von Grund auf neu ausgehandelt. Das ist der ganze Vorteil: keine neue Authentifizierungsrunde, kein neuer Schlüsselaustausch, keine Nachfrage an den Benutzer. Es bedeutet auch, dass der überlebende Zustand weiterhin zur alten Sitzung gehört.

MOBIKE kann den Verkehr auch auf UDP-Kapselung umstellen, weshalb ein funktionierender Tunnel nach einem Netzwerkwechsel manchmal Port 4500 verwendet. Dieser Übergang allein beweist nicht, dass NAT erkannt wurde, auch wenn beide oft zusammen auftreten.

Aktiviert Ihr Profil es tatsächlich

Beide Seiten müssen die Erweiterung unterstützen, und die Bereitstellung muss sie aktivieren. In strongSwan ist das Verhalten pro Verbindung konfigurierbar, und Änderungen an Schnittstelle oder Route können bei Bedarf eine Pfadsuche und eine Aktualisierung auslösen. Prüfen Sie die tatsächlichen Einstellungen der Verbindung, statt anzunehmen, dass jedes IKEv2-Profil sie einschaltet. Ein Profil, das aus einer Anleitung kopiert wurde, die älter als die Funktion ist, ist eine häufige Ursache dafür.

Der ausgehandelte Zustand auf beiden Seiten ist die Autorität, nicht die Dokumentation für die Produktfamilie.

Gehen Sie den Übergang in Etappen durch

Erfassen Sie den Zustand der Anwendung, bevor Sie das Netzwerk wechseln. Wechseln Sie dann und erfassen Sie danach den Zustand von Client und Server. Eine fehlende Adresse, ein nicht erreichbarer Partner und eine Anwendung, die ihre eigene Sitzung neu verbinden muss, sind drei verschiedene Ergebnisse. Nur die ersten beiden gehören zur VPN-Schicht; das dritte gehört zu dem Protokoll, das die Anwendung spricht.

Vergleichen Sie einen Netzwerkwechsel mit einem stationären Test, damit Sie wissen, welches Ereignis das Problem auslöst. Eine Durchsatzmessung im endgültigen Netz kann einen Übergang nicht nachbilden. Sie misst das Ziel, nicht den Weg.

Trennen Sie die Fehlerebenen

Eine langlebige TCP-Sitzung kann aus Gründen scheitern, die außerhalb des IKEv2-Austauschs liegen. Das neue Netz kann anders filtern, anders auflösen oder anders routen. Die Tunneladresse ändert sich möglicherweise überhaupt nicht, während sich der Pfad darunter ändert. Deshalb kann ein erneutes Verbinden der Anwendung etwas reparieren, was das VPN nie kaputt gemacht hat.

Lassen Sie die Sperrrichtlinie auch während der Wiederherstellung in Kraft.

Automatische Mobilität und eine Regel, die direkten Verkehr verhindert, sind verschiedene Kontrollen, und die zweite abzuschalten, damit die erste funktioniert, ist ein schlechter Tausch. Wenn die Mobilitätsaktualisierung fehlschlägt, sollte die Sperre halten, statt Verkehr um den Tunnel herum durchzulassen.

Was festzuhalten ist, wenn es sich wiederholt

Bewahren Sie Zeitstempel und beide Adresswerte von beiden Seiten auf. Dieser Nachweis zeigt, ob die Aktualisierung abgeschlossen war, bevor die Anwendung den Kontakt verlor, was der Unterschied zwischen einem Mobilitätsfehler und einer Zeitüberschreitung der Anwendung ist. Vergleichen Sie dann die Wechselrichtung: das Verlassen des WLANs zugunsten des Mobilfunknetzes ist nicht symmetrisch zum Gegenteil. Eine Richtung kann funktionieren, während die andere scheitert.

Diese Asymmetrie ist häufig genug, um das Erste zu sein, was Sie testen.

Mit dem Nachweis in der Hand hört der Vorfall auf, ein weiteres getrenntes Symbol zu sein, und wird zu einem Ereignis in einer Abfolge mit einem bekannten Verantwortlichen. Und das ist alles, was ein Durchlauf ehrlich versprechen kann.