Како MOBIKE го одржува IKEv2 VPN во живот кога мрежата се менува

Телефон ја напушта Wi-Fi мрежата и се приклучува на мобилната мрежа, преносен сметач преминува од Ethernet на пристапна точка, а IKEv2 тунелот или преживува или не. MOBIKE е продолжувањето што му овозможува да преживее, соопштувајќи му на далечниот крај дека изворната адреса е сменета наместо да се почне одново. Она што не го прави е да ја одржува секоја апликација во живот за време на промената. Тоа се две тврдења, а второто е она што луѓето обично го мислат.

Поминете ја транзицијата во етапи, бидејќи секоја етапа не успева на различен начин.

Што всушност менува ажурирањето

Додека безбедносната асоцијација сѐ уште е валидна, иницијаторот ја дознава својата нова адреса и испраќа ажурирање до одговорникот, кој потоа ја користи таа адреса за истата асоцијација. Безбедносните параметри не се преговараат повторно од нула. Тоа е целата корист: нема нова рунда за автентикација, нема нова размена на клучеви, нема барање до корисникот. Тоа значи и дека преживеаната состојба сѐ уште и припаѓа на старата сесија.

MOBIKE може и да го премести сообраќајот во UDP инкапсулација, поради што работен тунел понекогаш почнува да го користи портот 4500 по промена на мрежата. Таа транзиција сама по себе не докажува дека NAT е откриен, иако двете често се појавуваат заедно.

Дали вашиот профил навистина го вклучува

Двете страни мора да го поддржуваат продолжувањето, а распоредувањето мора да го вклучи. Во strongSwan однесувањето е конфигурирано по врска, а промените на интерфејсот или рутата можат да поттикнат барање на патека и ажурирање кога е потребно. Проверете ги вистинските поставки на врската наместо да претпоставувате дека секој IKEv2 профил го вклучува. Профил копиран од водич што е постар од оваа функција е чест извор на ова.

Преговараната состојба на двата краја е авторитетот, не документацијата за семејството производи.

Поминете ја транзицијата во етапи

Забележете ја состојбата на апликацијата пред да ги смените мрежите. Потоа сменете ја и забележете ја состојбата на клиентот и на серверот потоа. Адреса што недостасува, недостапен партнер и апликација што мора сама да ја поврзе својата сесија се три различни исходи. Само првите две и припаѓаат на VPN слојот; третата и припаѓа на протоколот што го зборува апликацијата.

Споредете ја промената на мрежата со статичен тест, за да знаете кој настан го поттикнува проблемот. Мерење на пропусноста во крајната мрежа не може да репродуцира транзиција. Го мери одредиштето, не патувањето.

Одделете ги слоевите на отказ

Долготрајна TCP сесија може да не успее поради причини надвор од IKEv2 размената. Новата мрежа може да филтрира, решава или рутира поинаку. Адресата на тунелот може воопшто да не се смени додека патеката под неа се менува. Затоа повторното поврзување на апликацијата може да поправи нешто што VPN-от никогаш не го скршил.

Задржете ја политиката за блокирање на место и за време на обновувањето.

Автоматската мобилност и правилото што го спречува директниот сообраќај се различни контроли, а исклучувањето на второто за да работи првото е лоша размена. Ако ажурирањето на мобилноста не успее, блокирањето треба да остане наместо да пушти сообраќај околу тунелот.

Што да се забележи кога ќе се повтори

Зачувајте ги временските ознаки и двете вредности на адресите од двете страни. Тој запис покажува дали ажурирањето завршило пред апликацијата да го изгуби контактот, што е разликата помеѓу дефект во мобилноста и истекување на времето на апликацијата. Потоа споредете го правецот на промената: излегувањето од Wi-Fi во мобилната мрежа не е симетрично со обратното. Еден правец може да работи додека другиот не успева.

Таа асиметрија е доволно честа за да биде првото нешто што се проверува.

Со записот во рака, инцидентот престанува да биде уште една исклучена икона и станува еден настан во низа со познат сопственик. И тоа е сѐ што еден преглед може чесно да вети.