איך MOBIKE שומר על VPN IKEv2 פעיל כשהרשת משתנה

טלפון עוזב את ה-Wi-Fi ומצטרף לרשת הסלולרית, מחשב נייד עובר מ-Ethernet לנקודת גישה, והמנהרה של IKEv2 שורדת או לא. MOBIKE היא ההרחבה שמאפשרת לה לשרוד, בכך שהיא מודיעה לצד המרוחק שכתובת המקור השתנתה במקום להתחיל מחדש. מה שהיא לא עושה הוא להשאיר כל יישום פעיל לאורך השינוי. אלה שתי טענות, והשנייה היא מה שאנשים בדרך כלל מתכוונים אליו.

עברו את המעבר בשלבים, כי כל שלב נכשל אחרת.

מה העדכון באמת משנה

כל עוד התאמת האבטחה עדיין תקפה, היוזם לומד את כתובתו החדשה ושולח עדכון למשיב, שלאחר מכן משתמש בכתובת הזו לאותה התאמה. פרמטרי האבטחה אינם מתמקחים מחדש מאפס. זה כל היתרון: בלי סיבוב אימות חדש, בלי החלפת מפתחות חדשה, בלי בקשה למשתמש. זה גם אומר שהמצב ששרד עדיין שייך להפעלה הישנה.

MOBIKE יכולה גם להעביר את התעבורה למעטפת UDP, ולכן מנהרה עובדת מתחילה לפעמים להשתמש בפורט 4500 אחרי החלפת רשת. המעבר הזה כשלעצמו אינו מוכיח ש-NAT זוהה, למרות ששני הדברים מופיעים לעיתים קרובות יחד.

האם הפרופיל שלכם באמת מפעיל אותה

שני הצדדים חייבים לתמוך בהרחבה, והפריסה חייבת להפעיל אותה. ב-strongSwan ההתנהגות ניתנת להגדרה לכל חיבור, ושינויים בממשק או בניתוב יכולים להפעיל חיפוש נתיב ועדכון בעת הצורך. בדקו את ההגדרות בפועל של החיבור במקום להניח שכל פרופיל IKEv2 מפעיל אותה. פרופיל שהועתק ממדריך שקדם לתכונה הוא מקור נפוץ לכך.

המצב המוסכם בשני הקצוות הוא הסמכות, לא התיעוד של משפחת המוצרים.

עברו את המעבר בשלבים

תעדו את מצב היישום לפני החלפת רשתות. אחר כך החליפו, ותעדו את מצב הלקוח והשרת לאחר מכן. כתובת חסרה, עמית שאינו זמין ויישום שחייב לחבר מחדש את ההפעלה שלו הם שלוש תוצאות שונות. רק הראשונות שתיים שייכות לשכבת ה-VPN; השלישית שייכת לכל פרוטוקול שהיישום מדבר.

השוו החלפת רשת לבדיקה נייחת, כדי שתדעו איזה אירוע מעורר את הבעיה. מדידת תפוקה ברשת הסופית לא יכולה לשחזר מעבר. היא מודדת את היעד, לא את המסע.

הפרידו בין שכבות הכשל

הפעלת TCP ארוכה יכולה להיכשל מסיבות שמחוץ לחילופי IKEv2. הרשת החדשה עשויה לסנן אחרת, לפתור אחרת או לנתב אחרת. כתובת המנהרה עשויה לא להשתנות כלל בעוד שהנתיב שמתחתיה משתנה. לכן חיבור מחדש של היישום יכול לתקן משהו שה-VPN מעולם לא שבר.

השאירו את מדיניות החסימה במקומה גם בזמן ההתאוששות.

ניידות אוטומטית וכלל שמונע תעבורה ישירה הם בקרות שונות, וכיבוי השני כדי שהראשון יעבוד הוא עסקה גרועה. אם עדכון הניידות נכשל, החסימה צריכה להחזיק מעמד במקום להדליף תעבורה סביב המנהרה.

מה לתעד כשזה חוזר

שמרו חותמות זמן ואת שני ערכי הכתובת משני הצדדים. הרשומה הזו מראה אם העדכון הושלם לפני שהיישום איבד קשר, וזה ההבדל בין תקלת ניידות לבין פסק זמן של היישום. אחר כך השוו את כיוון המעבר: יציאה מה-Wi-Fi אל הרשת הסלולרית אינה סימטרית להפך. כיוון אחד יכול לעבוד בעוד שהשני נכשל.

חוסר הסימטריה הזה נפוץ מספיק כדי להיות הדבר הראשון שכדאי לבדוק.

כשהרשומה ביד, התקרית מפסיקה להיות עוד סמל מנותק והופכת לאירוע אחד ברצף עם בעלים ידוע. וזה כל מה שסיור יכול להבטיח ביושר.