როგორ ინარჩუნებს MOBIKE IKEv2 VPN-ს ცოცხლად, როცა ქსელი იცვლება

ტელეფონი ტოვებს Wi-Fi-ს და უერთდება მობილურ ქსელს, ლეპტოპი გადადის Ethernet-იდან ჰოტსპოტზე, და IKEv2 გვირაბი ან გადარჩება, ან არა. MOBIKE არის ის გაფართოება, რომელიც აძლევს მას გადარჩენის საშუალებას, აცნობებს შორეულ მხარეს, რომ წყაროს მისამართი შეიცვალა, ნაცვლად იმისა რომ თავიდან დაიწყოს. რასაც ის არ აკეთებს, არის ყველა აპლიკაციის ცოცხლად შენარჩუნება ცვლილების განმავლობაში. ეს ორი მტკიცებაა, და მეორე არის ის, რაც ადამიანებს ჩვეულებრივ გულისხმობენ.

გაიარეთ გადასვლა ეტაპებად, რადგან ყოველი ეტაპი სხვანაირად ვარდება.

რას ცვლის განახლება სინამდვილეში

სანამ უსაფრთხოების ასოციაცია ჯერ კიდევ ძალაშია, ინიციატორი იგებს თავის ახალ მისამართს და უგზავნის განახლებას პასუხისმგებელ მხარეს, რომელიც შემდეგ იყენებს ამ მისამართს იმავე ასოციაციისთვის. უსაფრთხოების პარამეტრები ნულიდან ხელახლა არ მოლაპარაკდება. ეს არის მთელი სარგებელი: არავითარი ახალი ავთენტიფიკაციის რაუნდი, არავითარი ახალი გასაღების გაცვლა, არავითარი მოთხოვნა მომხმარებლისთვის. ეს ასევე ნიშნავს, რომ გადარჩენილი მდგომარეობა კვლავ ძველ სესიას ეკუთვნის.

MOBIKE-ს შეუძლია ტრაფიკის UDP შეფუთვაში გადატანა, ამიტომ სამუშაო გვირაბი ზოგჯერ ქსელის შეცვლის შემდეგ იწყებს 4500 პორტის გამოყენებას. ეს გადასვლა თავისთავად არ ამტკიცებს, რომ NAT აღმოჩენილია, თუმცა ორივე ხშირად ერთად ჩნდება.

ხომ ნამდვილად რთავს მას თქვენი პროფილი

ორივე მხარემ უნდა დაუჭიროს მხარი გაფართოებას, და განლაგებამ უნდა ჩართოს ის. strongSwan-ში ქცევა კონფიგურირებადია თითოეული კავშირისთვის, და ინტერფეისის ან მარშრუტის ცვლილებებმა შეიძლება გამოიწვიოს ბილიკის ძიება და განახლება საჭიროებისამებრ. შეამოწმეთ კავშირის ფაქტობრივი პარამეტრები, ნაცვლად იმისა რომ ჩათვალოთ, თითქოს ყველა IKEv2 პროფილი რთავს მას. ამ ფუნქციაზე ძველი სახელმძღვანელოდან კოპირებული პროფილი ამის ხშირი წყაროა.

ორივე ბოლოში შეთანხმებული მდგომარეობა არის ავტორიტეტი, და არა პროდუქტის ოჯახის დოკუმენტაცია.

გაიარეთ გადასვლა ეტაპებად

ჩაწერეთ აპლიკაციის მდგომარეობა ქსელის შეცვლამდე. შემდეგ შეცვალეთ, და შემდეგ ჩაწერეთ კლიენტისა და სერვერის მდგომარეობა. დაკარგული მისამართი, მიუწვდომელი პარტნიორი და აპლიკაცია, რომელმაც თავისი სესია ხელახლა უნდა დააკავშიროს, სამი განსხვავებული შედეგია. მხოლოდ პირველი ორი ეკუთვნის VPN ფენას; მესამე ეკუთვნის იმ პროტოკოლს, რომელზეც აპლიკაცია ლაპარაკობს.

შეადარეთ ქსელის გადართვა უმოძრაო ტესტს, რათა იცოდეთ რომელი მოვლენა იწვევს პრობლემას. გამტარუნარიანობის გაზომვა საბოლოო ქსელში ვერ გაიმეორებს გადასვლას. ის ზომავს დანიშნულებას და არა გზას.

გამოყავით მარცხის ფენები

გრძელვადიანი TCP სესია შეიძლება ვარდეს IKEv2 გაცვლის გარეთ არსებული მიზეზებით. ახალმა ქსელმა შეიძლება სხვანაირად გაფილტროს, გადაჭრას ან დაამარშრუტოს. გვირაბის მისამართი შეიძლება საერთოდ არ შეიცვალოს, სანამ მის ქვეშ არსებული გზა იცვლება. ამიტომ აპლიკაციის ხელახალი დაკავშირება შეიძლება გამოასწოროს ის, რაც VPN-ს არასოდეს გაუტეხავს.

შეინარჩუნეთ ბლოკირების პოლიტიკა ადგილზე აღდგენის დროსაც.

ავტომატური მობილურობა და პირდაპირი ტრაფიკის ამკრძალავი წესი სხვადასხვა კონტროლია, და მეორის გამორთვა იმისთვის, რომ პირველი იმუშაოს, ცუდი გარიგებაა. თუ მობილურობის განახლება ვარდება, ბლოკირება უნდა შენარჩუნდეს, ნაცვლად იმისა რომ ტრაფიკი გვირაბის ირგვლივ გაიჟონოს.

რა ჩავწეროთ, როცა ეს მეორდება

შეინახეთ დროის ნიშნები და ორივე მისამართის მნიშვნელობა ორივე მხრიდან. ეს ჩანაწერი აჩვენებს, დასრულდა თუ არა განახლება მანამ, სანამ აპლიკაცია კონტაქტს დაკარგავდა, რაც განსხვავებაა მობილურობის ხარვეზსა და აპლიკაციის დროის ამოწურვას შორის. შემდეგ შეადარეთ გადართვის მიმართულება: Wi-Fi-დან მობილურ ქსელზე გადასვლა არ არის სიმეტრიული საპირისპიროსთან. ერთი მიმართულება შეიძლება მუშაობდეს, სანამ მეორე ვარდება.

ეს ასიმეტრია საკმარისად ხშირია, რომ პირველი საცდელი რამ იყოს.

ჩანაწერით ხელში, ინციდენტი წყვეტს კიდევ ერთ გათიშული ხატულას ყოფნას და ხდება ერთი მოვლენა ცნობილი მფლობელის მქონე თანმიმდევრობაში. და ეს არის ყველაფერი, რაც გავლას შეუძლია პატიოსნად დაჰპირდეს.