Ինչպես MOBIKE-ը պահում է IKEv2 VPN-ը կենդանի, երբ ցանցը փոխվում է

Հեռախոսը լքում է Wi-Fi-ը և միանում բջջային ցանցին, համակարգիչը Ethernet-ից տեղափոխվում է հոթսփոթ, և IKEv2 թունելը կա՛մ գոյատևում է, կա՛մ ոչ։ MOBIKE-ը այն ընդլայնումն է, որը թույլ է տալիս նրան գոյատևել՝ հեռավոր կողմին հայտնելով, որ աղբյուրի հասցեն փոխվել է, փոխանակ նորից սկսելու։ Այն, ինչ նա չի անում, յուրաքանչյուր հավելված կենդանի պահելն է փոփոխության ընթացքում։ Սրանք երկու պնդում են, և երկրորդը այն է, ինչ մարդիկ սովորաբար նկատի ունեն։

Անցեք անցումը փուլերով, որովհետև յուրաքանչյուր փուլ տարբեր կերպ է ձախողվում։

Ինչ է իրականում փոխում թարմացումը

Քանի դեռ անվտանգության ասոցիացիան վավեր է, նախաձեռնողը իմանում է իր նոր հասցեն և թարմացում ուղարկում պատասխանողին, որը հետո օգտագործում է այդ հասցեն նույն ասոցիացիայի համար։ Անվտանգության պարամետրերը զրոյից նորից չեն բանակցվում։ Սա է ամբողջ օգուտը՝ ոչ նոր նույնականացման փուլ, ոչ նոր բանալիների փոխանակում, ոչ հարցում օգտատիրոջը։ Սա նաև նշանակում է, որ գոյատևած վիճակը դեռ պատկանում է հին սեսիային։

MOBIKE-ը կարող է նաև երթևեկությունը տեղափոխել UDP փաթեթավորման, ինչի պատճառով աշխատող թունելը երբեմն ցանցի փոփոխությունից հետո սկսում է օգտագործել 4500 պորտը։ Այդ անցումն ինքնին չի ապացուցում, որ NAT-ը հայտնաբերվել է, թեև երկուսը հաճախ հայտնվում են միասին։

Արդյոք ձեր պրոֆիլը իսկապես միացնում է այն

Երկու կողմերն էլ պետք է աջակցեն ընդլայնմանը, և տեղադրումը պետք է միացնի այն։ strongSwan-ում վարքագիծը կարգավորելի է յուրաքանչյուր միացման համար, և ինտերֆեյսի կամ երթուղու փոփոխությունները կարող են անհրաժեշտության դեպքում գործարկել ուղու որոնում և թարմացում։ Ստուգեք միացման փաստացի կարգավորումները՝ փոխանակ ենթադրելու, որ յուրաքանչյուր IKEv2 պրոֆիլ միացնում է այն։ Այս գործառույթից առաջ գրված ուղեցույցից պատճենված պրոֆիլը դրա սովորական աղբյուրն է։

Երկու ծայրերում բանակցված վիճակն է հեղինակությունը, ոչ թե ապրանքատեսակի ընտանիքի փաստաթղթերը։

Անցեք անցումը փուլերով

Գրանցեք հավելվածի վիճակը ցանցը փոխելուց առաջ։ Հետո փոխեք, և դրանից հետո գրանցեք հաճախորդի ու սերվերի վիճակը։ Բացակայող հասցեն, անհասանելի գործընկերը և այն հավելվածը, որը պետք է ինքը նորից միացնի իր սեսիան, երեք տարբեր արդյունքներ են։ Միայն առաջին երկուսն են պատկանում VPN շերտին. երրորդը պատկանում է այն արձանագրությանը, որով խոսում է հավելվածը։

Համեմատեք ցանցի փոխարկումը անշարժ թեստի հետ, որպեսզի իմանաք, թե որ իրադարձությունն է առաջացնում խնդիրը։ Վերջնական ցանցում թողունակության չափումը չի կարող վերարտադրել անցումը։ Այն չափում է նպատակակետը, ոչ թե ճանապարհը։

Առանձնացրեք ձախողման շերտերը

Երկարատև TCP սեսիան կարող է ձախողվել IKEv2 փոխանակությունից դուրս պատճառներով։ Նոր ցանցը կարող է այլ կերպ զտել, լուծել կամ երթուղավորել։ Թունելի հասցեն կարող է ընդհանրապես չփոխվել, մինչ ներքևի ուղին փոխվում է։ Այդ պատճառով հավելվածի վերամիացումը կարող է շտկել մի բան, որը VPN-ը երբեք չէր կոտրել։

Պահեք արգելափակման քաղաքականությունը տեղում նաև վերականգնման ընթացքում։

Ավտոմատ շարժունակությունը և ուղիղ երթևեկությունն արգելող կանոնը տարբեր կառավարման միջոցներ են, և երկրորդն անջատելը, որպեսզի առաջինն աշխատի, վատ փոխանակում է։ Եթե շարժունակության թարմացումը ձախողվի, արգելափակումը պետք է պահպանվի, փոխանակ թունելի շուրջ երթևեկություն արտահոսի։

Ինչ գրանցել, երբ դա կրկնվում է

Պահեք ժամանակային նշանները և երկու հասցեների արժեքները երկու կողմից։ Այդ գրառումը ցույց է տալիս՝ արդյոք թարմացումն ավարտվել է մինչև հավելվածի կապի կորուստը, ինչը տարբերությունն է շարժունակության սխալի և հավելվածի ժամկետի սպառման միջև։ Հետո համեմատեք փոխարկման ուղղությունը. Wi-Fi-ից բջջային ցանց անցնելը սիմետրիկ չէ հակառակի հետ։ Մի ուղղությունը կարող է աշխատել, մինչ մյուսը ձախողվում է։

Այդ անհամաչափությունը բավական տարածված է, որպեսզի լինի առաջին բանը, որ պետք է ստուգել։

Գրառումը ձեռքին՝ միջադեպը դադարում է լինել ևս մեկ անջատված պատկերակ և դառնում է մեկ իրադարձություն հայտնի սեփականատեր ունեցող հաջորդականության մեջ։ Եվ դա այն ամենն է, ինչ շրջայցը կարող է ազնվորեն խոստանալ։