Kaip MOBIKE palaiko IKEv2 VPN, kai keičiasi tinklas

Telefonas palieka Wi-Fi ir prisijungia prie korinio tinklo, nešiojamas kompiuteris persikelia iš Ethernet į hotspą, o IKEv2 tunelis arba išlieka, arba ne. MOBIKE yra plėtinys, leidžiantis jam išlikti: jis praneša tolimajam galui, kad šaltinio adresas pasikeitė, o ne pradeda iš naujo. Ko jis nedaro, tai nepalaiko kiekvienos programos gyvos viso pokyčio metu. Tai du teiginiai, ir antrasis yra tas, kurį žmonės paprastai turi omenyje.

Peržiūrėkite perėjimą etapais, nes kiekvienas etapas nepavyksta skirtingai.

Ką atnaujinimas iš tikrųjų pakeičia

Kol saugos asociacija vis dar galioja, iniciatorius sužino savo naują adresą ir nusiunčia atnaujinimą atsakovo pusei, kuri tada naudoja šį adresą tai pačiai asociacijai. Saugos parametrai nėra iš naujo deramasi nuo nulio. Tai visa nauda: jokio naujo autentifikavimo raundo, jokio naujo raktų keitimosi, jokio prašymo vartotojui. Tai taip pat reiškia, kad išlikusi būsena vis dar priklauso senajai sesijai.

MOBIKE taip pat gali perkelti srautą į UDP inkapsuliavimą, todėl veikiantis tunelis kartais po tinklo pakeitimo pradeda naudoti 4500 prievadą. Tas perėjimas pats savaime neįrodo, kad NAT buvo aptiktas, nors abu dažnai pasirodo kartu.

Ar jūsų profilis tikrai jį įjungia

Abi pusės turi palaikyti plėtinį, o diegimas turi jį įjungti. strongSwan elgsena konfigūruojama kiekvienam ryšiui, o sąsajos ar maršruto pakeitimai gali inicijuoti kelio paiešką ir atnaujinimą, kai reikia. Patikrinkite faktinius ryšio nustatymus, o ne manykite, kad kiekvienas IKEv2 profilis jį įjungia. Profilis, nukopijuotas iš vadovo, kuris senesnis už šią funkciją, yra dažna to priežastis.

Derybų būsena abiejuose galuose yra autoritetas, o ne produktų šeimos dokumentacija.

Peržiūrėkite perėjimą etapais

Užregistruokite programos būseną prieš keisdami tinklą. Tada persikelkite ir po to užregistruokite kliento bei serverio būseną. Trūkstamas adresas, nepasiekiamas partneris ir programa, kuri turi pati iš naujo prisijungti savo sesiją, yra trys skirtingi rezultatai. Tik pirmieji du priklauso VPN sluoksniui; trečiasis priklauso protokolui, kuriuo kalba programa.

Palyginkite tinklo perjungimą su stacionariu bandymu, kad žinotumėte, kuris įvykis sukelia problemą. Pralaidumo matavimas galutiniame tinkle negali atkartoti perėjimo. Jis matuoja tikslą, o ne kelionę.

Atskirkite gedimo sluoksnius

Ilgai trunkanti TCP sesija gali nepavykti dėl priežasčių, esančių už IKEv2 mainų ribų. Naujasis tinklas gali filtruoti, spręsti ar maršrutizuoti kitaip. Tunelio adresas gali visai nepasikeisti, nors kelias po juo keičiasi. Štai kodėl programos prisijungimas iš naujo gali pataisyti tai, ko VPN niekada nesugadino.

Išlaikykite blokavimo politiką vietoje ir atkūrimo metu.

Automatinis mobilumas ir taisyklė, draudžianti tiesioginį srautą, yra skirtingos valdymo priemonės, o antrosios išjungimas, kad veiktų pirmoji, yra blogas mainas. Jei mobilumo atnaujinimas nepavyksta, blokavimas turėtų išsilaikyti, o ne leisti srautui nutekėti aplink tunelį.

Ką registruoti, kai tai kartojasi

Išsaugokite laiko žymes ir abi abiejų pusių adreso reikšmes. Tas įrašas parodo, ar atnaujinimas baigėsi prieš programai prarandant ryšį, ir tai yra skirtumas tarp mobilumo klaidos ir programos skirtasis laikas. Tada palyginkite perjungimo kryptį: išėjimas iš Wi-Fi į korinį tinklą nėra simetriškas priešingai krypčiai. Viena kryptis gali veikti, o kita nepavyksta.

Ši asimetrija pakankamai dažna, kad būtų pirmas dalykas, kurį reikia išbandyti.

Turint įrašą rankoje, incidentas nustoja būti dar viena atjungta piktograma ir tampa vienu įvykiu sekoje su žinomu savininku. Ir tai viskas, ką apžvalga gali sąžiningai pažadėti.