摘要

  • 节点在外部网络间移动时，MOBIKE 可更新 VPN 网关所见的接入地址；若网关与 VPN-TIA 不变，i-HA 不知发生移动是协议设计的正常结果。
  • 连续性凭证必须连接接入变化、IKE/MOBIKE 提交、TIA 延续或替换、必要的 Mobile IPv4 注册、反向隧道转发及应用确认；任一答复都不能替其他层作证。

一次移动，两套坐标

终端从一个公网接入切换到另一个，外层地址改变。MOBIKE 将新地址交给 VPN 网关，原有 IKEv2/IPsec 关系改走新路径。对网关而言，移动已经发生并被接受。

加密隧道内部的 VPN-TIA 没变。i-HA 仍把同一个 TIA 作为 care-of address，与 home address 的绑定也无需更新。对归属代理而言，没有可观察的移动。

这不是日志不一致，而是观察边界不同。错误在于控制台把“外层换址成功”压缩成“企业会话已恢复”。

三个地址不能写成一个字段

RFC 5266 让 Mobile IPv4 home address 在内外网络保持稳定。外部时，VPN 网关分配通常可在内部路由的 TIA，节点把它注册给 i-HA。最外层还有接入网络分配的地址，MOBIKE 修改的是这一层。

接入地址描述隧道从哪里进入；TIA 描述隧道在企业侧呈现的内部坐标；home address 描述 Mobile IPv4 向上保持的身份。若日志只保留“当前 IP”，它甚至无法表达哪一层变了。

稳定 TIA 既是优化也是盲区

同一 VPN 网关维持同一 TIA 时，无需为每次外部漫游更新 Mobile IPv4 绑定。这减少信令并让内层隧道稳定。代价是 i-HA 的记录无法重建终端先后经过哪些外部网络。

因此，“binding 未变”只能证明内层坐标延续，不能证明接入路径静止。调查必须用安全关联标识与 TIA 分配，把 MOBIKE 历史和 i-HA 历史拼接。

若重连产生新 TIA，或节点换到另一 VPN 网关，边界随之改变。规范要求再向 i-HA 注册新的 CoA。此时外层和内层各有自己的提交时刻。

套娃隧道有两个控制平面

mc 模式把 Mobile IPv4 隧道放进 IPsec 隧道，并要求经归属代理反向隧道。MOBIKE 答复证明 VPN peer 接受外层地址；Registration Reply 证明 i-HA 接受 home address 到 CoA 的绑定。

两者都不能证明数据已穿过两层封装、NAT 状态仍然有效、反向路径选择正确，更不能证明应用收到业务结果。至少需要两个协议凭证、两层边界的包计数和一个应用观察。

跨越安全边界会同时启动两件事

连接变化时，节点可同时向 VPN 网关发送 MOBIKE 消息，并不经 VPN 直接探测 i-HA。只有网关答复而 i-HA 不答，支持外部网络判断；符合 TNC 条件的受保护 i-HA 答复支持内部判断。判断期间不应发送普通流量。

VPN 网关可能在内网也可达，所以它的成功不能代替边界分类。从内部移到外部时，建立 VPN 也只是准备通道；若 i-HA 未直接答复，节点还要在 VPN 内完成 Mobile IPv4 注册，之后才可用 home address 通信。

可见流量未必属于连续性路径

部分 VPN 客户端允许外部网络上的直接 Internet 流量绕过隧道。RFC 5266 不禁止它，却明确指出这类流量没有本方案提供的移动性或会话连续性。Mobile IP 隧道内的流量则总要通过 VPN 网关。

因此新接口上出现数据并不证明企业服务恢复。观测必须先区分直连流、IPsec 外层流和 Mobile-IP-in-IPsec 流。NAT 也可能在两层分别存在，一个 mapping 成功不能证明另一个仍存活。

分层移动凭证

保存设备与接口、旧新接入地址和切换时间；IKE SA、VPN 网关、MOBIKE 请求答复与提交；TIA 的分配者、寿命、延续或替换；home address、CoA、Mobile IPv4 注册和 binding 版本；直接或隧道内 i-HA 路径；TNC、认证与重放判定；反向隧道、IPsec selector、NAT 与两端计数；传输恢复和应用确认。

合法的不对称是外层变化而内层不变。危险的不对称是 TIA 已换而 i-HA 未跟随，或最早的绿色答复被当作所有后续层的结果。

来源