MOBIKE giữ IKEv2 VPN sống khi mạng thay đổi như thế nào

Một chiếc điện thoại rời Wi-Fi và tham gia mạng di động, một máy tính xách tay chuyển từ Ethernet sang điểm phát sóng, và đường hầm IKEv2 hoặc sống sót hoặc không. MOBIKE là phần mở rộng cho phép nó sống sót, bằng cách báo cho đầu xa rằng địa chỉ nguồn đã thay đổi thay vì bắt đầu lại. Điều nó không làm là giữ mọi ứng dụng sống trong suốt quá trình thay đổi. Đó là hai khẳng định, và khẳng định thứ hai là điều người ta thường muốn nói.

Đi qua quá trình chuyển đổi theo từng giai đoạn, vì mỗi giai đoạn thất bại theo cách khác nhau.

Bản cập nhật thực sự thay đổi điều gì

Chừng nào hiệp hội bảo mật còn hợp lệ, bên khởi tạo học địa chỉ mới của mình và gửi bản cập nhật cho bên phản hồi, bên này sau đó dùng địa chỉ đó cho cùng hiệp hội. Các tham số bảo mật không được thương lượng lại từ đầu. Đó là toàn bộ lợi ích: không có vòng xác thực mới, không có trao đổi khóa mới, không có yêu cầu nào với người dùng. Điều đó cũng có nghĩa là trạng thái sống sót vẫn thuộc về phiên cũ.

MOBIKE cũng có thể chuyển lưu lượng sang đóng gói UDP, đó là lý do một đường hầm đang hoạt động đôi khi bắt đầu dùng cổng 4500 sau khi mạng thay đổi. Quá trình chuyển đó tự nó không chứng minh NAT đã được phát hiện, dù hai điều thường xuất hiện cùng nhau.

Hồ sơ của bạn có thực sự bật nó không

Cả hai bên phải hỗ trợ phần mở rộng, và việc triển khai phải bật nó. Trong strongSwan, hành vi có thể cấu hình theo từng kết nối, và thay đổi giao diện hoặc tuyến có thể kích hoạt tìm đường và cập nhật khi cần. Hãy kiểm tra cài đặt thực tế của kết nối thay vì giả định mọi hồ sơ IKEv2 đều bật nó. Một hồ sơ sao chép từ hướng dẫn cũ hơn tính năng này là nguồn phổ biến của điều đó.

Trạng thái đã thương lượng ở hai đầu là thẩm quyền, không phải tài liệu của họ sản phẩm.

Đi qua quá trình chuyển đổi theo từng giai đoạn

Ghi lại trạng thái của ứng dụng trước khi đổi mạng. Sau đó đổi, và ghi lại trạng thái của máy khách và máy chủ sau đó. Địa chỉ bị mất, đối tác không thể tiếp cận và ứng dụng phải tự kết nối lại phiên của mình là ba kết quả khác nhau. Chỉ hai kết quả đầu thuộc lớp VPN; kết quả thứ ba thuộc giao thức mà ứng dụng nói.

So sánh việc chuyển mạng với một bài kiểm tra tĩnh, để biết sự kiện nào gây ra vấn đề. Đo thông lượng trên mạng cuối cùng không thể tái tạo một quá trình chuyển đổi. Nó đo đích đến, không đo hành trình.

Tách các lớp lỗi

Một phiên TCP dài hạn có thể thất bại vì lý do nằm ngoài trao đổi IKEv2. Mạng mới có thể lọc, phân giải hoặc định tuyến khác đi. Địa chỉ đường hầm có thể không đổi chút nào trong khi tuyến bên dưới thay đổi. Đó là lý do việc kết nối lại ứng dụng có thể sửa một thứ mà VPN chưa bao giờ làm hỏng.

Hãy giữ chính sách chặn tại chỗ cả trong khi khôi phục.

Tính di động tự động và một quy tắc ngăn lưu lượng trực tiếp là hai cơ chế kiểm soát khác nhau, và tắt cái thứ hai để cái thứ nhất hoạt động là một sự đánh đổi tồi. Nếu bản cập nhật di động thất bại, chặn nên giữ vững thay vì để lưu lượng rò rỉ quanh đường hầm.

Ghi lại gì khi nó lặp lại

Giữ dấu thời gian và cả hai giá trị địa chỉ từ cả hai phía. Bản ghi đó cho thấy bản cập nhật đã hoàn tất trước khi ứng dụng mất liên lạc hay chưa, đây là khác biệt giữa lỗi di động và hết thời gian chờ của ứng dụng. Sau đó so sánh hướng chuyển: rời Wi-Fi sang mạng di động không đối xứng với chiều ngược lại. Một hướng có thể hoạt động trong khi hướng kia thất bại.

Sự bất đối xứng đó đủ phổ biến để trở thành thứ đầu tiên cần kiểm tra.

Khi có bản ghi trong tay, sự cố không còn là một biểu tượng mất kết nối nữa mà trở thành một sự kiện trong chuỗi có chủ sở hữu đã biết. Và đó là tất cả những gì một chuyến đi có thể hứa hẹn một cách trung thực.