Kā MOBIKE uztur IKEv2 VPN dzīvu, kad mainās tīkls

Tālrunis pamet Wi-Fi un pievienojas mobilajam tīklam, klēpjdators pāriet no Ethernet uz piekļuves punktu, un IKEv2 tunelis vai nu izdzīvo, vai nē. MOBIKE ir paplašinājums, kas ļauj tam izdzīvot, paziņojot tālajai pusei, ka avota adrese ir mainījusies, tā vietā lai sāktu no jauna. Ko tas nedara, ir katras lietotnes uzturēšana dzīvas visas izmaiņas laikā. Tie ir divi apgalvojumi, un otrais ir tas, ko cilvēki parasti domā.

Izstaigājiet pāreju pa posmiem, jo katrs posms neizdodas citādi.

Ko atjauninājums patiešām maina

Kamēr drošības asociācija vēl ir derīga, iniciators uzzina savu jauno adresi un nosūta atjauninājumu atbildētājam, kas pēc tam izmanto šo adresi tai pašai asociācijai. Drošības parametri netiek pārrunāti no jauna no nulles. Tāds ir viss ieguvums: nav jaunas autentifikācijas kārtas, nav jaunas atslēgu apmaiņas, nav pieprasījuma lietotājam. Tas nozīmē arī to, ka izdzīvojušais stāvoklis joprojām pieder vecajai sesijai.

MOBIKE var arī pārvietot trafiku uz UDP iekapsulēšanu, tāpēc strādājošs tunelis pēc tīkla maiņas dažkārt sāk izmantot 4500 portu. Šī pāreja pati par sevi neapliecina, ka NAT tika atklāts, lai gan abi bieži parādās kopā.

Vai jūsu profils to patiešām iespējo

Abām pusēm ir jāatbalsta paplašinājums, un izvietojumam tas ir jāiespējo. Programā strongSwan darbību var konfigurēt katram savienojumam, un saskarnes vai maršruta izmaiņas var izraisīt ceļa meklēšanu un atjauninājumu, kad nepieciešams. Pārbaudiet savienojuma faktiskos iestatījumus, nevis pieņemiet, ka katrs IKEv2 profils to iespējo. Profils, kas nokopēts no rokasgrāmatas, kura ir vecāka par šo funkciju, ir biežs iemesls.

Abos galos saskaņotais stāvoklis ir autoritāte, nevis produktu saimes dokumentācija.

Izstaigājiet pāreju pa posmiem

Reģistrējiet lietotnes stāvokli pirms tīkla maiņas. Pēc tam pārejiet un pēc tam reģistrējiet klienta un servera stāvokli. Trūkstoša adrese, nesasniedzams partneris un lietotne, kurai pašai ir jāatkārtoti jāpievieno sava sesija, ir trīs dažādi iznākumi. Tikai pirmie divi pieder VPN slānim; trešais pieder protokolam, kurā runā lietotne.

Salīdziniet tīkla pārslēgšanu ar stacionāru testu, lai zinātu, kurš notikums izraisa problēmu. Caurlaidspējas mērījums galīgajā tīklā nevar atkārtot pāreju. Tas mēra galamērķi, nevis ceļu.

Atdaliet kļūmes slāņus

Ilgstoša TCP sesija var neizdoties tādu iemeslu dēļ, kas ir ārpus IKEv2 apmaiņas. Jaunais tīkls var filtrēt, atrisināt vai maršrutēt citādi. Tuneļa adrese var nemainīties vispār, kamēr ceļš zem tās mainās. Tāpēc lietotnes atkārtota pievienošanās var salabot kaut ko tādu, ko VPN nekad nesabojāja.

Saglabājiet bloķēšanas politiku vietā arī atkopšanas laikā.

Automātiskā mobilitāte un noteikums, kas novērš tiešu trafiku, ir dažādas vadības ierīces, un otrā izslēgšana, lai pirmā darbotos, ir slikts darījums. Ja mobilitātes atjauninājums neizdodas, bloķēšanai vajadzētu noturēties, nevis ļaut trafikam noplūst ap tuneli.

Ko reģistrēt, kad tas atkārtojas

Saglabājiet laika zīmes un abas adreses vērtības no abām pusēm. Šis ieraksts parāda, vai atjauninājums tika pabeigts pirms lietotne zaudēja kontaktu, un tā ir atšķirība starp mobilitātes kļūdu un lietotnes taimautu. Pēc tam salīdziniet pārslēgšanas virzienu: iziešana no Wi-Fi uz mobilo tīklu nav simetriska ar pretējo. Viens virziens var darboties, kamēr otrs neizdodas.

Šī asimetrija ir pietiekami izplatīta, lai būtu pirmā lieta, kas jāpārbauda.

Ar ierakstu rokā incidents pārstāj būt vēl viena atvienota ikona un kļūst par vienu notikumu secībā ar zināmu īpašnieku. Un tas ir viss, ko pārlūkošana var godīgi apsolīt.