Tarmoq o'zgarganda MOBIKE IKEv2 VPNni qanday tirik saqlaydi

Telefon Wi-Fi'dan chiqib uyali tarmoqqa qo'shiladi, noutbuk Ethernet'dan hotspotga o'tadi va IKEv2 tunnel yo omon qoladi, yo yo'q. MOBIKE — unga omon qolish imkonini beruvchi kengaytma: boshidan qayta boshlash o'rniga manba manzili o'zgarganini uzoq tomonga bildiradi. U qilmaydigan narsa — o'zgarish davomida har bir ilovani tirik saqlash. Bu ikki da'vo, va odamlar odatda ikkinchisini nazarda tutadilar.

O'tishni bosqichma-bosqich ko'rib chiqing, chunki har bir bosqich boshqacha muvaffaqiyatsizlikka uchraydi.

Yangilanish aslida nimani o'zgartiradi

Xavfsizlik assotsiatsiyasi hali amalda bo'lganda, tashabbuskor o'zining yangi manzilini bilib, javob beruvchiga yangilanish yuboradi, u keyin o'sha assotsiatsiya uchun shu manzildan foydalanadi. Xavfsizlik parametrlari noldan qayta kelishilmaydi. Butun foyda shu: yangi autentifikatsiya bosqichi yo'q, yangi kalit almashinuvi yo'q, foydalanuvchiga hech qanday so'rov yo'q. Bu omon qolgan holat hanuz eski seansga tegishli ekanini ham bildiradi.

MOBIKE trafikni UDP inkapsulyatsiyasiga ham ko'chirishi mumkin, shuning uchun ishlayotgan tunnel ba'zan tarmoq o'zgarganidan keyin 4500 portidan foydalana boshlaydi. Bu o'tish o'z-o'zidan NAT aniqlanganini isbotlamaydi, garchi ikkalasi ko'pincha birga ko'rinadi.

Profilingiz buni haqiqatan ham yoqadimi

Ikkala tomon ham kengaytmani qo'llab-quvvatlashi kerak, va joylashtirish uni yoqishi kerak. strongSwan'da xatti-harakat har bir ulanish uchun sozlanadi, va interfeys yoki marshrut o'zgarishlari kerak bo'lganda yo'l qidiruvi va yangilanishni ishga tushirishi mumkin. Har bir IKEv2 profili uni yoqadi deb taxmin qilish o'rniga ulanishning haqiqiy sozlamalarini tekshiring. Bu xususiyatdan oldin yozilgan qo'llanmadan ko'chirilgan profil buning keng tarqalgan sababidir.

Ikkala tomonda kelishilgan holat hokimiyat, mahsulot oilasining hujjatlari emas.

O'tishni bosqichma-bosqich ko'rib chiqish

Tarmoqlarni almashtirishdan oldin ilovaning holatini yozib oling. Keyin almashtiring va keyin mijoz hamda server holatini yozib oling. Yo'qolgan manzil, yetib bo'lmaydigan hamkor va o'z seansini qayta ulashi kerak bo'lgan ilova — bu uch xil natija. Faqat birinchi ikkitasi VPN qatlamiga tegishli; uchinchisi ilova gapiradigan protokolga tegishli.

Tarmoq almashinuvini statsionar sinov bilan solishtiring, qaysi hodisa muammoni qo'zg'atishini bilish uchun. Yakuniy tarmoqdagi o'tkazish qobiliyatini o'lchash o'tishni qayta hosil qila olmaydi. U manzilni o'lchaydi, safarni emas.

Muvaffaqiyatsizlik qatlamlarini ajrating

Uzoq muddatli TCP seansi IKEv2 almashinuvidan tashqaridagi sabablarga ko'ra muvaffaqiyatsiz bo'lishi mumkin. Yangi tarmoq boshqacha filtrlaydi, hal qiladi yoki marshrutlaydi. Tunnel manzili umuman o'zgarmasligi mumkin, uning ostidagi yo'l esa o'zgaradi. Shuning uchun ilovani qayta ulash VPN hech qachon buzmagan narsani tuzatishi mumkin.

Tiklanish paytida ham bloklash siyosatini joyida saqlang.

Avtomatik mobillik va to'g'ridan-to'g'ri trafikni taqiqlovchi qoida turli boshqaruvlar, va birinchisi ishlashi uchun ikkinchisini o'chirish yomon almashinuv. Agar mobillik yangilanishi muvaffaqiyatsiz bo'lsa, blok tunnel atrofida trafik oqib ketishiga yo'l qo'yish o'rniga turishi kerak.

Takrorlanganda nimalarni yozib olish kerak

Ikkala tomondan vaqt belgilarini va ikkala manzil qiymatini saqlang. Bu yozuv yangilanish ilova aloqani yo'qotishidan oldin tugagan-tugamaganini ko'rsatadi, bu mobillik xatosi va ilova taymauti o'rtasidagi farq. Keyin almashinuv yo'nalishini solishtiring: Wi-Fi'dan uyali tarmoqqa chiqish teskarisi bilan simmetrik emas. Bir yo'nalish ishlashi mumkin, ikkinchisi muvaffaqiyatsiz bo'ladi.

Bu asimmetriya birinchi sinab ko'riladigan narsa bo'ladigan darajada keng tarqalgan.

Yozuv qo'lda bo'lganda, voqea yana bir uzilgan belgi bo'lishni to'xtatadi va egasi ma'lum bo'lgan ketma-ketlikdagi bitta voqeaga aylanadi. Va bu bir yurish halol va'da qila oladigan hamma narsadir.