ネットワークが変わってもMOBIKEがIKEv2 VPNをつなぎ続ける仕組み

スマートフォンがWi-Fiを離れて携帯網に加わり、ノートPCがEthernetからホットスポットへ移り、IKEv2トンネルは生き残るかそうでないかのどちらかです。MOBIKEはそれを生き残らせる拡張であり、最初からやり直す代わりに送信元アドレスが変わったことを遠端に伝えます。それがしないのは、変化の間ずっとすべてのアプリケーションを生かし続けることです。これは二つの主張であり、人々が普通に意味するのは二つ目のほうです。

段階ごとに失敗の仕方が違うので、移行を段階に分けてたどってください。

更新が実際に変えるもの

セキュリティアソシエーションがまだ有効なうちに、開始側は新しいアドレスを学び、応答側へ更新を送り、応答側はその後も同じアソシエーションにそのアドレスを使います。 セキュリティパラメータがゼロから再交渉されることはありません。 利点はそこに尽きます。新しい認証ラウンドも、新しい鍵交換も、利用者への問い合わせもありません。これは、生き残った状態が依然として古いセッションに属していることも意味します。

MOBIKEはトラフィックをUDPカプセル化へ移すこともでき、そのため動作中のトンネルがネットワーク変更後にポート4500を使い始めることがあります。その移行だけではNATが検出された証拠にはなりませんが、両者はしばしば一緒に現れます。

プロファイルは本当にそれを有効にしているか

両端が拡張をサポートし、配備がそれを有効にする必要があります。strongSwanでは接続ごとに挙動を設定でき、インターフェースやルートの変更が必要に応じて経路探索と更新を引き起こすことがあります。すべてのIKEv2プロファイルが有効にしていると仮定せず、接続の実際の設定を確認してください。この機能より古いガイドからコピーしたプロファイルは、そのよくある原因です。

両端で交渉された状態が基準であり、製品ファミリーの文書ではありません。

移行を段階に分けてたどる

ネットワークを移る前にアプリケーションの状態を記録します。次に移り、その後にクライアントとサーバーの状態を記録します。アドレスの欠落、到達できない相手、自分のセッションを再接続しなければならないアプリケーションは、三つの異なる結果です。最初の二つだけがVPN層に属し、三つ目はアプリケーションが話すプロトコルに属します。

ネットワーク切り替えを静止した試験と比べて、どの出来事が問題を引き起こすのかを知ってください。最終ネットワークでのスループット測定は移行を再現できません。それは目的地を測るのであり、道のりを測るのではありません。

故障の層を分ける

長く続くTCPセッションは、IKEv2交換の外の理由で失敗することがあります。新しいネットワークは別の方法でフィルタリングし、名前解決し、経路選択するかもしれません。下の経路が変わる間に、トンネルのアドレスがまったく変わらないこともあります。だからこそ、アプリケーションの再接続が、VPNが壊したわけでもないものを直せることがあります。

復旧の間もブロックの方針を維持してください。

自動モビリティと直接通信を防ぐ規則は別の制御であり、前者を動かすために後者を切るのは悪い取引です。モビリティ更新が失敗したら、トンネルの周りに通信を漏らすのではなく、ブロックが保たれるべきです。

繰り返すときに記録すること

両側からタイムスタンプと両方のアドレス値を残します。その記録は、アプリケーションが接触を失う前に更新が完了したかどうかを示し、これがモビリティの不具合とアプリケーションのタイムアウトの違いです。次に切り替えの向きを比べてください。Wi-Fiを離れて携帯網へ移ることは、その逆と対称ではありません。片方向が機能し、もう片方が失敗することがあります。

その非対称性は、最初に試す事柄になるほどよくあります。

記録が手元にあれば、その出来事はまた一つ切断されたアイコンではなくなり、所有者の分かっている連続の中の一つの出来事になります。そして、それが通しで正直に約束できるすべてです。