Како MOBIKE одржава IKEv2 VPN живим када се мрежа промени

Телефон напушта Wi-Fi и придружује се мобилној мрежи, преносни рачунар прелази са Ethernet на приступну тачку, а IKEv2 тунел или преживљава или не. MOBIKE је проширење које му омогућава да преживи, саопштавајући удаљеној страни да се изворна адреса променила уместо да почне изнова. Оно што не ради јесте да одржава сваку апликацију живом током промене. То су две тврдње, а друга је она коју људи обично мисле.

Прођите кроз прелаз у етапама, јер свака етапа не успева другачије.

Шта ажурирање заправо мења

Док је безбедносна асоцијација још важећа, иницијатор сазнаје своју нову адресу и шаље ажурирање одговорнику, који затим користи ту адресу за исту асоцијацију. Безбедносни параметри се не преговарају поново од нуле. То је цела корист: нема новог круга аутентификације, нема нове размене кључева, нема захтева кориснику. То такође значи да преживело стање и даље припада старој сесији.

MOBIKE може и да премести саобраћај у UDP инкапсулацију, због чега радни тунел понекад почне да користи порт 4500 после промене мреже. Тај прелаз сам по себи не доказује да је NAT откривен, иако се обоје често појављују заједно.

Да ли ваш профил то заиста укључује

Обе стране морају да подржавају проширење, а распоређивање мора да га укључи. У strongSwan-у понашање се конфигурише по вези, а промене интерфејса или руте могу да покрену тражење путање и ажурирање када је потребно. Прегледајте стварне поставке везе уместо да претпостављате да сваки IKEv2 профил то укључује. Профил копиран из упутства које је старије од ове функције је чест извор овога.

Преговарано стање на оба краја је ауторитет, а не документација породице производа.

Прођите кроз прелаз у етапама

Забележите стање апликације пре промене мреже. Затим се преместите и након тога забележите стање клијента и сервера. Адреса која недостаје, недоступан партнер и апликација која мора сама поново да повеже своју сесију су три различита исхода. Само прва два припадају VPN слоју; трећи припада протоколу којим апликација говори.

Упоредите промену мреже са стационарним тестом, да бисте знали који догађај изазива проблем. Мерење пропусности у крајњој мрежи не може да репродукује прелаз. Оно мери одредиште, а не пут.

Одвојите слојеве отказа

Дуготрајна TCP сесија може да не успе из разлога ван IKEv2 размене. Нова мрежа може другачије да филтрира, разрешава или рутира. Адреса тунела можда се уопште неће променити док се путања испод ње мења. Зато поновно повезивање апликације може да поправи нешто што VPN никада није покварио.

Задржите политику блокирања на месту и током опоравка.

Аутоматска мобилност и правило које спречава директан саобраћај су различите контроле, а искључивање друге да би прва радила је лоша размена. Ако ажурирање мобилности не успе, блокирање треба да се одржи уместо да пусти саобраћај око тунела.

Шта забележити када се понови

Сачувајте временске ознаке и обе вредности адреса са обе стране. Тај запис показује да ли је ажурирање завршено пре него што је апликација изгубила контакт, што је разлика између грешке у мобилности и истека времена апликације. Затим упоредите правац промене: излазак са Wi-Fi у мобилну мрежу није симетричан са супротним. Један правац може да ради док други не успева.

Та асиметрија је довољно честа да буде прво што треба тестирати.

Са записом у руци, инцидент престаје да буде још једна искључена икона и постаје један догађај у низу са познатим власником. И то је све што један преглед може честито да обећа.