Miten MOBIKE pitää IKEv2 VPN:n elossa, kun verkko vaihtuu

Puhelin jättää Wi-Fi-verkon ja liittyy matkapuhelinverkkoon, kannettava siirtyy Ethernetistä hotspotiin, ja IKEv2-tunneli joko selviää tai ei. MOBIKE on laajennus, joka antaa sen selvitä kertomalla vastapuolelle, että lähdeosoite on vaihtunut sen sijaan, että aloitettaisiin alusta. Se, mitä se ei tee, on pitää jokainen sovellus elossa muutoksen ajan. Nämä ovat kaksi väitettä, ja jälkimmäinen on se, mitä ihmiset yleensä tarkoittavat.

Käy siirtymä läpi vaiheittain, koska jokainen vaihe epäonnistuu eri tavalla.

Mitä päivitys oikeastaan muuttaa

Niin kauan kuin tietoturvayhteys on vielä voimassa, aloittaja oppii uuden osoitteensa ja lähettää päivityksen vastaajalle, joka käyttää sitten tätä osoitetta samaan yhteyteen. Tietoturvaparametreja ei neuvotella uudelleen alusta. Siinä on koko hyöty: ei uutta todennuskierrosta, ei uutta avaintenvaihtoa, ei käyttäjälle esitettävää kysymystä. Se tarkoittaa myös, että selvinnyt tila kuuluu edelleen vanhaan istuntoon.

MOBIKE voi myös siirtää liikenteen UDP-kapselointiin, minkä vuoksi toimiva tunneli alkaa joskus käyttää porttia 4500 verkonvaihdon jälkeen. Tämä siirtymä ei sinänsä todista, että NAT havaittiin, vaikka ne kaksi esiintyvät usein yhdessä.

Ottaako profiilisi sen todella käyttöön

Molempien osapuolten on tuettava laajennusta, ja käyttöönoton on otettava se käyttöön. strongSwanissa käyttäytyminen on määritettävissä yhteyksittäin, ja liitännän tai reitin muutokset voivat laukaista polun haun ja päivityksen tarvittaessa. Tarkista yhteyden todelliset asetukset sen sijaan, että olettaisit jokaisen IKEv2-profiilin ottavan sen käyttöön. Profiili, joka on kopioitu ominaisuutta vanhemmasta oppaasta, on tavallinen syy tähän.

Molemmissa päissä neuvoteltu tila on auktoriteetti, ei tuoteperheen dokumentaatio.

Käy siirtymä läpi vaiheittain

Kirjaa sovelluksen tila ennen verkon vaihtamista. Vaihda sitten ja kirjaa asiakkaan ja palvelimen tila sen jälkeen. Puuttuva osoite, tavoittamaton vastapuoli ja sovellus, jonka on itse yhdistettävä istuntonsa uudelleen, ovat kolme eri lopputulosta. Vain kaksi ensimmäistä kuuluvat VPN-kerrokseen; kolmas kuuluu siihen protokollaan, jota sovellus puhuu.

Vertaa verkonvaihtoa paikallaan olevaan testiin, jotta tiedät, mikä tapahtuma laukaisee ongelman. Loppuverkon läpäisymittaus ei voi toistaa siirtymää. Se mittaa määränpäätä, ei matkaa.

Erottele vikakerrokset

Pitkäikäinen TCP-istunto voi epäonnistua syistä, jotka ovat IKEv2-vaihdon ulkopuolella. Uusi verkko voi suodattaa, ratkaista tai reitittää eri tavalla. Tunneliosoite ei välttämättä muutu lainkaan, vaikka sen alla oleva polku muuttuu. Siksi sovelluksen uudelleenyhdistäminen voi korjata jotain, mitä VPN ei koskaan rikkonut.

Pidä estokäytäntö voimassa myös palautuksen aikana.

Automaattinen liikkuvuus ja suoraa liikennettä estävä sääntö ovat eri kontrolleja, ja toisen poistaminen käytöstä, jotta ensimmäinen toimisi, on huono vaihtokauppa. Jos liikkuvuuspäivitys epäonnistuu, eston pitäisi pitää sen sijaan, että liikennettä vuotaisi tunnelin ohi.

Mitä kirjata, kun se toistuu

Säilytä aikaleimat ja molemmat osoitearvot molemmilta puolilta. Tämä kirjaus näyttää, ehtikö päivitys valmistua ennen kuin sovellus menetti yhteyden, mikä on ero liikkuvuusvian ja sovelluksen aikakatkaisun välillä. Vertaa sitten vaihdon suuntaa: Wi-Fi:stä matkapuhelinverkkoon siirtyminen ei ole symmetrinen päinvastaisen kanssa. Toinen suunta voi toimia, kun toinen epäonnistuu.

Tämä epäsymmetria on tarpeeksi yleistä ollakseen ensimmäinen asia, joka testataan.

Kun kirjaus on käsissä, tapaus lakkaa olemasta vielä yksi irrotettu kuvake ja muuttuu yhdeksi tapahtumaksi sarjassa, jolla on tunnettu omistaja. Ja se on kaikki, mitä läpikäynti voi rehellisesti luvata.