Ako MOBIKE udržiava VPN IKEv2 v chode pri zmene siete

Telefón opustí Wi-Fi a pripojí sa k mobilnej sieti, notebook prejde z Ethernetu na hotspot a tunel IKEv2 buď prežije, alebo nie. MOBIKE je rozšírenie, ktoré mu umožňuje prežiť tým, že vzdialenej strane oznámi zmenu zdrojovej adresy, namiesto začatia odznova. Čo nerobí, je udržiavať každú aplikáciu živú počas zmeny. Sú to dve tvrdenia a druhé je to, čo ľudia zvyčajne myslia.

Prejdite prechod po etapách, pretože každá etapa zlyháva inak.

Čo aktualizácia skutočne mení

Kým je bezpečnostná asociácia stále platná, iniciátor zistí svoju novú adresu a pošle aktualizáciu respondérovi, ktorý potom túto adresu použije pre tú istú asociáciu. Bezpečnostné parametre sa nevyjednávajú znova od nuly. To je celý prínos: žiadne nové kolo overovania, žiadna nová výmena kľúčov, žiadna požiadavka na používateľa. Znamená to aj to, že prežívajúci stav stále patrí starej relácii.

MOBIKE dokáže presunúť prevádzku aj do zapuzdrenia UDP, a preto funkčný tunel niekedy po zmene siete začne používať port 4500. Tento prechod sám o sebe nedokazuje, že sa zistilo NAT, hoci obe sa často objavujú spolu.

Zapína ho váš profil naozaj

Obe strany musia rozšírenie podporovať a nasadenie ho musí zapnúť. V strongSwane je správanie konfigurovateľné pre každé spojenie a zmeny rozhrania alebo trasy môžu podľa potreby vyvolať hľadanie cesty a aktualizáciu. Preskúmajte skutočné nastavenia spojenia, namiesto toho, aby ste predpokladali, že ho každý profil IKEv2 zapína. Profil skopírovaný z návodu, ktorý je starší ako táto funkcia, je častým zdrojom tohto.

Vyjednaný stav na oboch stranách je autorita, nie dokumentácia produktovej rodiny.

Prejdite prechod po etapách

Zaznamenajte stav aplikácie pred zmenou siete. Potom sa presuňte a následne zaznamenajte stav klienta a servera. Chýbajúca adresa, nedostupný partner a aplikácia, ktorá musí sama znova pripojiť svoju reláciu, sú tri rôzne výsledky. Len prvé dva patria do vrstvy VPN; tretí patrí protokolu, ktorým aplikácia hovorí.

Porovnajte prepnutie siete so stacionárnym testom, aby ste vedeli, ktorá udalosť problém spúšťa. Meranie priepustnosti v konečnej sieti nemôže prechod reprodukovať. Meria cieľ, nie cestu.

Oddeľte vrstvy zlyhania

Dlhotrvajúca relácia TCP môže zlyhať z dôvodov mimo výmeny IKEv2. Nová sieť môže filtrovať, prekladať alebo smerovať inak. Adresa tunela sa nemusí zmeniť vôbec, zatiaľ čo cesta pod ňou sa mení. Preto môže nové pripojenie aplikácie opraviť niečo, čo VPN nikdy nepokazila.

Nechajte blokovaciu politiku na mieste aj počas obnovy.

Automatická mobilita a pravidlo brániace priamej prevádzke sú rôzne kontroly a vypnutie druhej, aby prvá fungovala, je zlá výmena. Ak aktualizácia mobility zlyhá, blokovanie by malo držať, namiesto prepúšťania prevádzky okolo tunela.

Čo zaznamenať, keď sa to opakuje

Uchovajte časové značky a obe hodnoty adries z oboch strán. Tento záznam ukazuje, či sa aktualizácia dokončila predtým, ako aplikácia stratila kontakt, čo je rozdiel medzi chybou mobility a časovým limitom aplikácie. Potom porovnajte smer prepnutia: odchod z Wi-Fi do mobilnej siete nie je symetrický s opakom. Jeden smer môže fungovať, zatiaľ čo druhý zlyháva.

Táto asymetria je dosť bežná na to, aby bola prvou vecou, ktorú treba otestovať.

So záznamom v ruke prestáva byť incident ďalšou odpojenou ikonou a stáva sa jednou udalosťou v postupnosti so známym vlastníkom. A to je všetko, čo môže prechádzka čestne sľúbiť.