• Обрыв VPN-сессии при переключении клиентского устройства с офисного Wi-Fi на LTE/5G или смене интернет-провайдера.
• Повторный длительный цикл полной реаутентификации (IKE_SA_INIT) и ввод паролей при каждом изменении локального IP.
• Зависание телефонных звонков (VoIP/SIP) и терминальных сессий RDP при перемещении сотрудников.
• В логах strongSwan/ASA фиксируется: peer changed IP but MOBIKE unsupported, deleting SA.

1. Архитектура протокола MOBIKE (IKEv2 Mobility and Multihoming)

MOBIKE (RFC 4555) расширяет спецификацию IKEv2, позволяя мобильному клиенту сообщать шлюзу безопасности об изменении своего внешнего IP-адреса с помощью сообщений INFORMATIONAL (UPDATE_SA_ADDRESSES). Шлюз обновляет конечные точки существующих Security Associations (IPsec SA) без повторного прохождения криптографического рукопожатия Phase 1.

2. Конфигурация strongSwan на стороне VPN-шлюза

В конфигурационном файле /etc/swanctl/swanctl.conf:

connections {
    RoadWarrior-IKEv2 {
        version = 2
        # Включение поддержки расширения MOBIKE
        mobike = yes
        dpd_delay = 10s
        dpd_timeout = 30s
        pools = pool-ipv4

        local {
            auth = pubkey
            certs = serverCert.pem
            id = vpn.company.com
        }

        remote {
            auth = eap-mschapv2
            eap_id = %any
        }

        children {
            net-access {
                local_ts = 0.0.0.0/0
                # Принудительная UDP-инкапсуляция для быстрой смены NAT-портов
                encap = yes
                dpd_action = clear
            }
        }
    }
}

pools {
    pool-ipv4 {
        addrs = 10.200.0.0/24
        dns = 1.1.1.1, 8.8.8.8
    }
}

3. Применение и перезагрузка политик

swanctl --load-all
swanctl --list-conns

4. Конфигурация Cisco FlexVPN / IOS-XE

crypto ikev2 profile MOBIKE_PROFILE
 match identity remote any
 authentication remote eap-mschapv2
 authentication local rsa-sig
 pki trustpoint CA_TRUST
 ! Включение поддержки мобильности клиентов
 mobike
 dpd 10 30 on-demand
 virtual-template 1

5. Трассировка смены адреса клиента в реальном времени

# Мониторинг журнала strongSwan
journalctl -u strongswan-starter -f | grep -i "MOBIKE"

Успешный лог содержит: received INFORMATIONAL request ... updating local/remote address of IKE_SA to 198.51.100.45[4500].