Тармак алмашканда MOBIKE IKEv2 VPNди кантип тирүү кармайт

Телефон Wi-Fi'ден чыгып уюлдук тармакка кошулат, ноутбук Ethernet'тен хотспотко өтөт, ал эми IKEv2 туннели же аман калат, же жок. MOBIKE — ага аман калууга мүмкүндүк берген кеңейтүү: баштапкы дарек өзгөргөнүн алыскы тарапка билдирет, башынан кайра баштоонун ордуна. Ал кылбаган нерсе — өзгөрүү учурунда ар бир колдонмону тирүү кармоо. Бул эки ырастоо, жана экинчиси адамдар адатта айткысы келген нерсе.

Өтүүнү этап-этабы менен караңыз, анткени ар бир этап башкача ишке ашпайт.

Жаңыртуу чындыгында эмнени өзгөртөт

Коопсуздук ассоциациясы дагы жарактуу кезде, демилгечи өзүнүн жаңы дарегин билип, жооп берүүчүгө жаңыртуу жөнөтөт, ал кийин ошол эле ассоциация үчүн бул даректи колдонот. Коопсуздук параметрлери нөлдөн кайра сүйлөшүлбөйт. Бул — бүт пайда: жаңы аутентификация раунду жок, жаңы ачкыч алмашуу жок, колдонуучуга суроо жок. Бул ошондой эле аман калган абал дагы эле эски сессияга таандык экенин билдирет.

MOBIKE трафикти UDP каптамасына да жылдыра алат, ошондуктан иштеп жаткан туннель тармак алмашкандан кийин кээде 4500 портун колдоно баштайт. Бул өтүү өзүнөн өзү NAT аныкталганын далилдебейт, бирок экөө көп учурда бирге көрүнөт.

Профилиңиз аны чын эле күйгүзөбү

Эки тарап тең кеңейтүүнү колдошу керек, ал эми жайылтуу аны күйгүзүшү керек. strongSwan'до жүрүм-турум ар бир байланыш үчүн конфигурацияланат, ал эми интерфейс же маршрут өзгөрүүлөрү керек болгондо жол издөөнү жана жаңыртууну башташы мүмкүн. Ар бир IKEv2 профили аны күйгүзөт деп болжолдоонун ордуна байланыштын иш жүзүндөгү жөндөөлөрүн текшериңиз. Бул функциядан мурун жазылган колдонмодон көчүрүлгөн профиль мунун көп кездешүүчү себеби.

Эки учта сүйлөшүлгөн абал — бийлик, продукт үй-бүлөсүнүн документтери эмес.

Өтүүнү этап-этабы менен караңыз

Тармактарды алмаштырганга чейин колдонмонун абалын жазып алыңыз. Анан алмаштырыңыз, жана андан кийин клиент менен сервердин абалын жазып алыңыз. Жоголгон дарек, жетүү мүмкүн эмес өнөктөш жана өз сессиясын кайра туташтырууга тийиш колдонмо — бул үч башка жыйынтык. Биринчи экөө гана VPN катмарына таандык; үчүнчүсү колдонмо сүйлөгөн протоколго таандык.

Тармак алмашууну кыймылсыз сыноо менен салыштырыңыз, кайсы окуя маселени баштаарын билүү үчүн. Акыркы тармакта өткөрүү жөндөмдүүлүгүн өлчөө өтүүнү кайра жарата албайт. Ал барар жерди өлчөйт, жолду эмес.

Ийгиликсиздик катмарларын бөлүңүз

Узак жашаган TCP сессиясы IKEv2 алмашуудан тышкаркы себептерден ишке ашпай калышы мүмкүн. Жаңы тармак башкача чыпкалашы, чечиши же маршрутташы мүмкүн. Туннелдин дареги такыр өзгөрбөшү мүмкүн, ал эми анын астындагы жол өзгөрөт. Ошондуктан колдонмону кайра туташтыруу VPN эч качан бузбаган нерсени оңдой алат.

Калыбына келтирүү учурунда да блоктоо саясатын ордунда кармаңыз.

Автоматтык мобилдүүлүк жана түз трафикти тыюучу эреже — ар башка башкаруу куралдары, жана биринчиси иштеши үчүн экинчисин өчүрүү — начар алмашуу. Эгер мобилдүүлүк жаңыртуусу ишке ашпаса, блок туннелдин айланасына трафикти агызып жиберүүнүн ордуна сакталышы керек.

Кайталанганда эмнени жазып алуу керек

Эки тараптан тең убакыт белгилерин жана эки даректин маанисин сактаңыз. Бул жазуу жаңыртуу колдонмо байланышты жоготконго чейин бүткөнүн көрсөтөт, бул мобилдүүлүк жаталыгы менен колдонмонун убакыт бүтүшүнүн айырмасы. Анан алмашуу багытын салыштырыңыз: Wi-Fi'ден уюлдук тармакка чыгуу карама-каршы менен симметриялуу эмес. Бир багыт иштеши мүмкүн, экинчиси ишке ашпайт.

Бул асимметрия биринчи сыналуучу нерсе боло тургандай кеңири таралган.

Жазуу колдо болгондо, окуя дагы бир ажыратылган белги болууну токтотот жана белгилүү ээси бар ырааттуулуктагы бир окуяга айланат. Жана бул — серептин ак ниет менен убада кыла аларынын баары.