Желі өзгергенде MOBIKE IKEv2 VPN қалай тірі ұстайды

Телефон Wi-Fi-дан шығып ұялы желіге қосылады, ноутбук Ethernet-тен хотспотқа ауысады, ал IKEv2 туннелі не аман қалады, не қалмайды. MOBIKE — оның аман қалуына мүмкіндік беретін кеңейту: бастапқы мекенжай өзгергенін алыс жаққа хабарлайды, басынан қайта бастаудың орнына. Ол жасамайтын нәрсе — өзгеріс кезінде әрбір қолданбаны тірі ұстау. Бұл екі тұжырым, және екіншісі адамдар әдетте айтқысы келетін нәрсе.

Ауысуды кезең-кезеңімен қараңыз, өйткені әр кезең әртүрлі сәтсіздікке ұшырайды.

Жаңарту шын мәнінде нені өзгертеді

Қауіпсіздік ассоциациясы әлі жарамды кезде, бастаушы өзінің жаңа мекенжайын біліп, жауап берушіге жаңарту жібереді, ол кейін сол ассоциация үшін осы мекенжайды пайдаланады. Қауіпсіздік параметрлері нөлден қайта келісілмейді. Бұл — бүкіл пайда: жаңа аутентификация раунды жоқ, жаңа кілт алмасу жоқ, пайдаланушыға сұрау жоқ. Бұл сондай-ақ аман қалған күйдің әлі де ескі сессияға тиесілі екенін білдіреді.

MOBIKE трафикті UDP қаптамасына да көшіре алады, сондықтан жұмыс істеп тұрған туннель желі ауысқаннан кейін кейде 4500 портын пайдалана бастайды. Бұл ауысу өздігінен NAT анықталғанын дәлелдемейді, дегенмен екеуі жиі бірге көрінеді.

Профиліңіз оны шынымен қоса ма

Екі тарап та кеңейтуді қолдауы керек, ал орналастыру оны қосуы керек. strongSwan-да мінез-құлық әр қосылым үшін конфигурацияланады, ал интерфейс немесе маршрут өзгерістері қажет болғанда жол іздеу мен жаңартуды іске қосуы мүмкін. Әрбір IKEv2 профилі оны қосады деп болжаудың орнына қосылымның нақты параметрлерін тексеріңіз. Осы мүмкіндіктен бұрын жазылған нұсқаулықтан көшірілген профиль мұның жиі себебі.

Екі жақта келісілген күй — билік, өнім отбасының құжаттамасы емес.

Ауысуды кезең-кезеңімен қараңыз

Желілерді ауыстырмас бұрын қолданбаның күйін жазып алыңыз. Содан кейін ауысыңыз, және кейін клиент мен сервердің күйін жазып алыңыз. Жоғалған мекенжай, қол жетпейтін серіктес және өз сессиясын қайта қосуға мәжбүр қолданба — үш түрлі нәтиже. Тек алғашқы екеуі VPN қабатына жатады; үшіншісі қолданба сөйлейтін протоколға жатады.

Желі ауыстыруды қозғалмайтын сынақпен салыстырыңыз, қай оқиға мәселені тудыратынын білу үшін. Соңғы желідегі өткізу қабілетін өлшеу ауысуды қайта шығара алмайды. Ол межені өлшейді, жолды емес.

Сәтсіздік қабаттарын бөліңіз

Ұзақ өмір сүретін TCP сессиясы IKEv2 алмасуынан тыс себептермен сәтсіздікке ұшырауы мүмкін. Жаңа желі басқаша сүзуі, шешуі немесе маршруттауы мүмкін. Туннель мекенжайы мүлде өзгермеуі мүмкін, ал оның астындағы жол өзгереді. Сондықтан қолданбаны қайта қосу VPN ешқашан бұзбаған нәрсені түзете алады.

Қалпына келтіру кезінде де блоктау саясатын орнында ұстаңыз.

Автоматты ұтқырлық пен тікелей трафикті болдырмайтын ереже — әртүрлі басқару құралдары, және біріншісі жұмыс істеуі үшін екіншісін өшіру — нашар айырбас. Егер ұтқырлық жаңартуы сәтсіз болса, блок туннель айналасына трафикті ағызып жіберудің орнына сақталуы керек.

Қайталанғанда нені жазып алу керек

Екі жақтан да уақыт белгілері мен екі мекенжай мәнін сақтаңыз. Бұл жазба жаңартудың қолданба байланысты жоғалтпас бұрын аяқталғанын көрсетеді, бұл ұтқырлық ақауы мен қолданбаның уақыт шегінің айырмасы. Содан кейін ауысу бағытын салыстырыңыз: Wi-Fi-дан ұялы желіге шығу керісімен симметриялы емес. Бір бағыт жұмыс істеуі мүмкін, ал екіншісі сәтсіз болады.

Бұл асимметрия бірінші сыналатын нәрсе болатындай жиі кездеседі.

Жазба қолда болғанда, оқиға тағы бір ажыратылған белгіше болуды қояды да, белгілі иесі бар тізбектегі бір оқиғаға айналады. Ал бұл — шолудың адал уәде ете алатынының бәрі.