Kuidas MOBIKE hoiab IKEv2 VPN-i elus, kui võrk muutub

Telefon lahkub Wi-Fi-võrgust ja liitub mobiilse võrguga, sülearvuti liigub Ethernetilt hotspotile ning IKEv2 tunnel kas jääb püsima või mitte. MOBIKE on laiendus, mis laseb sellel püsida, teatades kaugeotsale, et allikaaadress on muutunud, selle asemel et uuesti alustada. Mida see ei tee, on hoida iga rakendus muutuse ajal elus. Need on kaks väidet ja teist neist inimesed tavaliselt mõtlevadki.

Käige üleminek läbi etappide kaupa, sest iga etapp ebaõnnestub erinevalt.

Mida värskendus tegelikult muudab

Kuni turvaühendus on veel kehtiv, saab algataja oma uue aadressi teada ja saadab vastajale värskenduse, kes seejärel kasutab seda aadressi sama ühenduse jaoks. Turvaparameetreid ei kaubelda uuesti nullist. See on kogu kasu: ei uut autentimisvooru, ei uut võtmevahetust, ei kasutajale esitatavat küsimust. See tähendab ka, et ellujäänud olek kuulub endiselt vanasse sessiooni.

MOBIKE saab liikluse viia ka UDP-kapseldusse, mistõttu töötav tunnel hakkab mõnikord pärast võrguvahetust kasutama porti 4500. See üleminek iseenesest ei tõesta, et NAT tuvastati, kuigi need kaks esinevad sageli koos.

Kas teie profiil lubab seda tõesti

Mõlemad osapooled peavad laiendust toetama ja juurutamine peab selle lubama. StrongSwanis on käitumine ühenduse kaupa seadistatav ning liidese- või marsruudimuutused võivad vajadusel käivitada teeotsingu ja värskenduse. Kontrollige ühenduse tegelikke seadeid, selle asemel et eeldada, et iga IKEv2 profiil selle sisse lülitab. Juhendist, mis on sellest funktsioonist vanem, kopeeritud profiil on selle tavaline allikas.

Läbiräägitud olek mõlemas otsas on autoriteet, mitte tootepere dokumentatsioon.

Käige üleminek läbi etappide kaupa

Registreerige rakenduse olek enne võrkude vahetamist. Seejärel vahetage ja registreerige pärast seda kliendi ja serveri olek. Puuduv aadress, kättesaamatu partner ja rakendus, mis peab oma sessiooni ise uuesti ühendama, on kolm erinevat tulemust. Ainult kaks esimest kuuluvad VPN-kihile; kolmas kuulub selle protokolli juurde, mida rakendus räägib.

Võrrelge võrguvahetust paigalseisva testiga, et teada, milline sündmus probleemi esile kutsub. Läbilaskevõime mõõtmine lõppvõrgus ei suuda üleminekut taasesitada. See mõõdab sihtkohta, mitte teekonda.

Eraldage rikke kihid

Pikaajaline TCP-sessioon võib ebaõnnestuda IKEv2-vahetusest väljapoole jäävatel põhjustel. Uus võrk võib filtreerida, lahendada või marsruutida teisiti. Tunneli aadress ei pruugi üldse muutuda, samal ajal kui tee selle all muutub. Seetõttu võib rakenduse taasühendamine parandada midagi, mida VPN kunagi ei rikkunud.

Hoidke blokeerimispoliitika paigal ka taastumise ajal.

Automaatne liikuvus ja otseliiklust takistav reegel on erinevad juhtimisvahendid ning teise väljalülitamine, et esimene töötaks, on halb vahetus. Kui liikuvuse värskendus ebaõnnestub, peaks blokk püsima, selle asemel et lasta liiklusel tunnelist mööda lekkida.

Mida registreerida, kui see kordub

Säilitage ajatemplid ja mõlema poole mõlemad aadressiväärtused. See kirje näitab, kas värskendus lõppes enne, kui rakendus kontakti kaotas, mis on liikuvuse vea ja rakenduse aegumise vahe. Seejärel võrrelge lülitumissuunda: Wi-Fi-st mobiilsele võrgule liikumine ei ole vastupidisega sümmeetriline. Üks suund võib töötada, samal ajal kui teine ebaõnnestub.

See asümmeetria on piisavalt tavaline, et olla esimene asi, mida testida.

Kirje käes, lakkab juhtum olemast veel üks lahtiühendatud ikoon ja muutub üheks sündmuseks tuntud omanikuga järjestuses. Ja see on kõik, mida üks läbivaatus saab ausalt lubada.