Bagaimana MOBIKE mengekalkan IKEv2 VPN hidup apabila rangkaian berubah

Telefon meninggalkan Wi-Fi dan menyertai rangkaian selular, komputer riba berpindah dari Ethernet ke titik akses, dan terowong IKEv2 sama ada bertahan atau tidak. MOBIKE ialah sambungan yang membolehkannya bertahan, dengan memberitahu hujung jauh bahawa alamat sumber telah berubah dan bukannya bermula semula. Apa yang tidak dilakukannya ialah mengekalkan setiap aplikasi hidup sepanjang perubahan itu. Itu dua dakwaan, dan yang kedua ialah apa yang biasanya dimaksudkan orang.

Lalui peralihan itu secara berperingkat, kerana setiap peringkat gagal secara berbeza.

Apa yang sebenarnya diubah oleh kemas kini

Selagi persatuan keselamatan masih sah, pemula mengetahui alamat baharunya dan menghantar kemas kini kepada penjawab, yang kemudian menggunakan alamat itu untuk persatuan yang sama. Parameter keselamatan tidak dirunding semula dari awal. Itulah keseluruhan faedahnya: tiada pusingan pengesahan baharu, tiada pertukaran kunci baharu, tiada permintaan kepada pengguna. Ini juga bermakna keadaan yang bertahan masih milik sesi lama.

MOBIKE juga boleh memindahkan trafik ke enkapsulasi UDP, sebab itulah terowong yang berfungsi kadangkala mula menggunakan port 4500 selepas perubahan rangkaian. Peralihan itu sendiri tidak membuktikan bahawa NAT telah dikesan, walaupun kedua-duanya sering muncul bersama.

Adakah profil anda benar-benar mengaktifkannya

Kedua-dua pihak mesti menyokong sambungan itu, dan penggunaan mesti mengaktifkannya. Dalam strongSwan tingkah laku boleh dikonfigurasikan setiap sambungan, dan perubahan antara muka atau laluan boleh mencetuskan carian laluan dan kemas kini apabila perlu. Periksa tetapan sebenar sambungan dan bukannya menganggap setiap profil IKEv2 menghidupkannya. Profil yang disalin daripada panduan yang lebih lama daripada ciri ini ialah punca biasa perkara ini.

Keadaan yang dirunding di kedua-dua hujung ialah autoriti, bukan dokumentasi keluarga produk.

Lalui peralihan itu secara berperingkat

Rekod keadaan aplikasi sebelum bertukar rangkaian. Kemudian bertukar, dan rekod keadaan klien dan pelayan selepas itu. Alamat yang hilang, rakan yang tidak dapat dicapai dan aplikasi yang mesti menyambung semula sesinya sendiri ialah tiga hasil yang berbeza. Hanya dua yang pertama tergolong dalam lapisan VPN; yang ketiga tergolong dalam protokol yang dituturkan oleh aplikasi.

Bandingkan pertukaran rangkaian dengan ujian pegun, supaya anda tahu peristiwa mana yang mencetuskan masalah. Pengukuran daya pemprosesan pada rangkaian akhir tidak dapat menghasilkan semula peralihan. Ia mengukur destinasi, bukan perjalanan.

Asingkan lapisan kegagalan

Sesi TCP yang tahan lama boleh gagal atas sebab di luar pertukaran IKEv2. Rangkaian baharu mungkin menapis, menyelesaikan atau menghala secara berbeza. Alamat terowong mungkin tidak berubah sama sekali manakala laluan di bawahnya berubah. Sebab itulah penyambungan semula aplikasi boleh membaiki sesuatu yang tidak pernah dirosakkan oleh VPN.

Kekalkan dasar penyekatan di tempatnya semasa anda pulih juga.

Mobiliti automatik dan peraturan yang menghalang trafik langsung ialah kawalan yang berbeza, dan mematikan yang kedua supaya yang pertama berfungsi ialah pertukaran yang buruk. Jika kemas kini mobiliti gagal, sekatan itu harus bertahan dan bukannya membiarkan trafik bocor di sekeliling terowong.

Apa yang perlu direkod apabila ia berulang

Simpan cap masa dan kedua-dua nilai alamat dari kedua-dua belah. Rekod itu menunjukkan sama ada kemas kini selesai sebelum aplikasi kehilangan hubungan, iaitu perbezaan antara pepijat mobiliti dan tamat masa aplikasi. Kemudian bandingkan arah pertukaran: meninggalkan Wi-Fi ke rangkaian selular bukan simetri dengan sebaliknya. Satu arah boleh berfungsi manakala yang lain gagal.

Asimetri itu cukup biasa untuk menjadi perkara pertama yang diuji.

Dengan rekod di tangan, insiden itu berhenti menjadi satu lagi ikon terputus dan menjadi satu peristiwa dalam jujukan dengan pemilik yang diketahui. Itulah semua yang boleh dijanjikan oleh satu tinjauan dengan jujur.