Kako MOBIKE ohranja VPN IKEv2 pri življenju ob spremembi omrežja

Telefon zapusti Wi-Fi in se pridruži mobilnemu omrežju, prenosnik preide z Ethernet na dostopno točko, in tunel IKEv2 bodisi preživi bodisi ne. MOBIKE je razširitev, ki mu omogoča preživetje, tako da oddaljeni strani sporoči, da se je naslov vira spremenil, namesto da bi začel znova. Česar ne počne, je ohranjanje vsake aplikacije pri življenju med spremembo. To sta dve trditvi, in druga je tista, ki jo ljudje običajno mislijo.

Pojdite skozi prehod po stopnjah, ker vsaka stopnja odpove drugače.

Kaj posodobitev v resnici spremeni

Dokler je varnostna asociacija še veljavna, inicializator izve svoj novi naslov in pošlje posodobitev odgovarjalcu, ki nato ta naslov uporabi za isto asociacijo. Varnostni parametri se ne pogajajo znova od začetka. To je vsa korist: nobenega novega kroga preverjanja, nobene nove izmenjave ključev, nobene zahteve uporabniku. To pomeni tudi, da preživelo stanje še vedno pripada stari seji.

MOBIKE lahko promet premakne tudi v UDP enkapsulacijo, zato delujoč tunel po spremembi omrežja včasih začne uporabljati vrata 4500. Ta prehod sam po sebi ne dokazuje, da je bil NAT zaznan, čeprav se oba pogosto pojavita skupaj.

Ali vaš profil to res omogoči

Obe strani morata podpirati razširitev, in uvedba jo mora omogočiti. V strongSwanu je vedenje mogoče nastaviti za vsako povezavo, spremembe vmesnika ali poti pa lahko po potrebi sprožijo iskanje poti in posodobitev. Preglejte dejanske nastavitve povezave, namesto da domnevate, da jo vsak profil IKEv2 vklopi. Profil, kopiran iz vodnika, ki je starejši od te funkcije, je pogost vir tega.

Dogovorjeno stanje na obeh koncih je avtoriteta, ne dokumentacija družine izdelkov.

Pojdite skozi prehod po stopnjah

Zabeležite stanje aplikacije pred menjavo omrežja. Nato se premaknite in zatem zabeležite stanje odjemalca in strežnika. Manjkajoči naslov, nedosegljiv partner in aplikacija, ki mora sama znova povezati svojo sejo, so trije različni izidi. Samo prva dva spadata v plast VPN; tretji spada k protokolu, ki ga aplikacija govori.

Primerjajte preklop omrežja s stacionarnim testom, da boste vedeli, kateri dogodek sproži težavo. Meritev prepustnosti v končnem omrežju ne more ponoviti prehoda. Meri cilj, ne poti.

Ločite plasti okvare

Dolgotrajna seja TCP lahko odpove zaradi razlogov zunaj izmenjave IKEv2. Novo omrežje lahko filtrira, razrešuje ali usmerja drugače. Naslov tunela se morda sploh ne spremeni, medtem ko se pot pod njim spreminja. Zato lahko ponovna povezava aplikacije popravi nekaj, česar VPN nikoli ni pokvaril.

Tudi med obnovitvijo ohranite politiko blokiranja na mestu.

Samodejna mobilnost in pravilo, ki preprečuje neposreden promet, sta različna nadzora, in izklop drugega, da bi prvi deloval, je slaba menjava. Če posodobitev mobilnosti ne uspe, bi morala blokada zdržati, namesto da spusti promet okoli tunela.

Kaj zabeležiti, ko se ponovi

Ohranite časovne žige in obe vrednosti naslovov z obeh strani. Ta zapis pokaže, ali se je posodobitev končala, preden je aplikacija izgubila stik, kar je razlika med napako mobilnosti in časovno prekoračitvijo aplikacije. Nato primerjajte smer preklopa: odhod z Wi-Fi v mobilno omrežje ni simetričen z nasprotnim. Ena smer lahko deluje, medtem ko druga odpove.

Ta asimetrija je dovolj pogosta, da je prva stvar, ki jo je treba preizkusiti.

Z zapisom v roki incident preneha biti še ena odklopljena ikona in postane en dogodek v zaporedju z znanim lastnikom. In to je vse, kar lahko en sprehod pošteno obljubi.