Πώς το MOBIKE κρατά ζωντανό ένα VPN IKEv2 όταν αλλάζει το δίκτυο

Ένα τηλέφωνο φεύγει από το Wi-Fi και συνδέεται στο κυψελοειδές δίκτυο, ένας φορητός υπολογιστής περνά από το Ethernet σε ένα σημείο πρόσβασης, και η σήραγγα IKEv2 είτε επιβιώνει είτε όχι. Το MOBIKE είναι η επέκταση που της επιτρέπει να επιβιώσει, λέγοντας στο απομακρυσμένο άκρο ότι η διεύθυνση προέλευσης άλλαξε αντί να ξεκινήσει από την αρχή. Αυτό που δεν κάνει είναι να κρατά ζωντανή κάθε εφαρμογή κατά την αλλαγή. Πρόκειται για δύο ισχυρισμούς, και ο δεύτερος είναι αυτό που συνήθως εννοούν οι άνθρωποι.

Περπατήστε τη μετάβαση σε στάδια, γιατί κάθε στάδιο αποτυγχάνει διαφορετικά.

Τι αλλάζει πραγματικά η ενημέρωση

Όσο η συσχέτιση ασφαλείας είναι ακόμη έγκυρη, ο εκκινητής μαθαίνει τη νέα του διεύθυνση και στέλνει μια ενημέρωση στον ανταποκριτή, ο οποίος στη συνέχεια χρησιμοποιεί αυτή τη διεύθυνση για την ίδια συσχέτιση. Οι παράμετροι ασφαλείας δεν επαναδιαπραγματεύονται από το μηδέν. Αυτό είναι όλο το όφελος: κανένας νέος γύρος πιστοποίησης, καμία νέα ανταλλαγή κλειδιών, κανένα αίτημα προς τον χρήστη. Σημαίνει επίσης ότι η κατάσταση που επιβιώνει εξακολουθεί να ανήκει στην παλιά συνεδρία.

Το MOBIKE μπορεί επίσης να μεταφέρει την κίνηση σε ενθυλάκωση UDP, γι' αυτό μια σήραγγα που λειτουργεί μερικές φορές αρχίζει να χρησιμοποιεί τη θύρα 4500 μετά από αλλαγή δικτύου. Αυτή η μετάβαση δεν αποδεικνύει από μόνη της ότι ανιχνεύθηκε NAT, αν και τα δύο εμφανίζονται συχνά μαζί.

Το προφίλ σας το ενεργοποιεί όντως

Και τα δύο άκρα πρέπει να υποστηρίζουν την επέκταση και η ανάπτυξη πρέπει να την ενεργοποιεί. Στο strongSwan η συμπεριφορά είναι ρυθμιστέα ανά σύνδεση και οι αλλαγές διεπαφής ή δρομολογίου μπορούν να πυροδοτήσουν αναζήτηση διαδρομής και ενημέρωση όταν χρειάζεται. Επιθεωρήστε τις πραγματικές ρυθμίσεις της σύνδεσης αντί να υποθέτετε ότι κάθε προφίλ IKEv2 την ενεργοποιεί. Ένα προφίλ που αντιγράφηκε από οδηγό που προηγείται της λειτουργίας είναι συνηθισμένη πηγή αυτού.

Η διαπραγματευμένη κατάσταση και στα δύο άκρα είναι η αυθεντία, όχι η τεκμηρίωση της οικογένειας προϊόντων.

Περπατήστε τη μετάβαση σε στάδια

Καταγράψτε την κατάσταση της εφαρμογής πριν αλλάξετε δίκτυα. Στη συνέχεια αλλάξτε και καταγράψτε την κατάσταση του πελάτη και του διακομιστή έπειτα. Μια διεύθυνση που λείπει, ένας μη προσβάσιμος ομότιμος και μια εφαρμογή που πρέπει να επανασυνδέσει μόνη της τη συνεδρία της είναι τρία διαφορετικά αποτελέσματα. Μόνο τα δύο πρώτα ανήκουν στο επίπεδο VPN· το τρίτο ανήκει σε όποιο πρωτόκολλο μιλά η εφαρμογή.

Συγκρίνετε μια εναλλαγή δικτύου με μια στατική δοκιμή, ώστε να ξέρετε ποιο γεγονός προκαλεί το πρόβλημα. Μια μέτρηση διεκπεραιωτικότητας στο τελικό δίκτυο δεν μπορεί να αναπαραγάγει μια μετάβαση. Μετρά τον προορισμό, όχι το ταξίδι.

Διαχωρίστε τα επίπεδα αποτυχίας

Μια μακρόχρονη συνεδρία TCP μπορεί να αποτύχει για λόγους εκτός της ανταλλαγής IKEv2. Το νέο δίκτυο μπορεί να φιλτράρει, να επιλύσει ή να δρομολογήσει διαφορετικά. Η διεύθυνση της σήραγγας μπορεί να μην αλλάξει καθόλου ενώ η διαδρομή από κάτω αλλάζει. Γι' αυτό μια επανασύνδεση της εφαρμογής μπορεί να διορθώσει κάτι που το VPN δεν έσπασε ποτέ.

Κρατήστε την πολιτική αποκλεισμού στη θέση της και κατά την ανάκτηση.

Η αυτόματη κινητικότητα και ένας κανόνας που εμποδίζει την άμεση κίνηση είναι διαφορετικοί έλεγχοι, και το να απενεργοποιήσεις τον δεύτερο για να λειτουργήσει ο πρώτος είναι κακή ανταλλαγή. Αν η ενημέρωση κινητικότητας αποτύχει, ο αποκλεισμός θα πρέπει να αντέχει αντί να αφήνει κίνηση γύρω από τη σήραγγα.

Τι να καταγράψετε όταν επαναλαμβάνεται

Διατηρήστε χρονικές σημάνσεις και τις δύο τιμές διεύθυνσης και από τις δύο πλευρές. Αυτό το αρχείο δείχνει αν η ενημέρωση ολοκληρώθηκε πριν η εφαρμογή χάσει την επαφή, που είναι η διαφορά μεταξύ ενός σφάλματος κινητικότητας και ενός χρονικού ορίου εφαρμογής. Στη συνέχεια συγκρίνετε την κατεύθυνση της εναλλαγής: το να φεύγεις από το Wi-Fi προς το κυψελοειδές δίκτυο δεν είναι συμμετρικό με το αντίστροφο. Η μία κατεύθυνση μπορεί να λειτουργεί ενώ η άλλη αποτυγχάνει.

Αυτή η ασυμμετρία είναι αρκετά συνηθισμένη ώστε να είναι το πρώτο πράγμα που δοκιμάζετε.

Με το αρχείο στο χέρι, το περιστατικό παύει να είναι άλλο ένα αποσυνδεδεμένο εικονίδιο και γίνεται ένα γεγονός σε μια αλληλουχία με γνωστό ιδιοκτήτη. Κι αυτό είναι το μόνο που μπορεί να υποσχεθεί ειλικρινά μια περιήγηση.