IKEv2 teenoor L2TP/IPsec: watter profiel hardloop jou bediener?
Een etiket verberg twee stapels, drie soorte geheim en ander gedrag wanneer die adres verander. Ontrafel die lae voordat jy die keusespyskaarte vergelyk.
Die twee name verskyn langs mekaar in dieselfde aftreklys, wat 'n keuse tussen gelykes suggereer. Hulle is nie gelykes nie. L2TP is 'n tonnelprotokol sonder eie vertroulikheid, en die beskerming in 'n L2TP/IPsec-diens kom van die IPsec-laag wat dit omhul. IKEv2 onderhandel direk 'n IPsec-assosiasie en het geen stap tonnel-in-tonnel nie. Om te weet watter stapel jou bediener bied, bepaal die profiel, die vrae en wat gebeur wanneer die skootrekenaar van netwerk verander.
Twee stapels, een etiket in die kliënt
L2TP dra 'n punt-tot-punt-sessie oor UDP na poort 1701 en laat enkripsie oor aan wie dit omhul. Pas dit met IPsec en jy kry twee lae: 'n IPsec-assosiasie wat die pad beskerm, en daarbinne 'n L2TP-sessie wat die gebruiker se skakellaag-rame en PPP-verifikasie vervoer.
IKEv2 skep 'n beheerassosiasie en dan een of meer kindassosiasies wat verkeer beskerm, alles in een uitruilfamilie op UDP 500 en 4500. Daar is geen innerlike tonnelprotokol en geen PPP-onderhandeling nie.
Aanmeldgegewens: drie geheime op drie lae
Hier verdwyn die meeste ondersteuningstyd. 'n L2TP/IPsec-profiel kan 'n vooraf gedeelde sleutel vir die IPsec-laag vra en 'n gebruikersnaam met wagwoord vir die PPP-sessie binne, en die twee word deur verskillende komponente nagegaan. Die gedeelde sleutel hoort by die poort as geheel, so dit identifiseer niemand nie; dit bewys net dat die ander kant 'n geheim ken.
IKEv2 gebruik gewoonlik sertifikate, of EAP met 'n gebruikersnaam en wagwoord, en dit kan ook 'n vooraf gedeelde sleutel gebruik. Daardie opsies is nie met die L2TP-paar verwisselbaar nie. 'n Wagwoordherstel wat 'n afgekeurde EAP-aanmelding regmaak, doen niks vir 'n vervalle kliëntsertifikaat nie, en hoeveel keer jy ook die rekeningwagwoord intik, 'n verkeerde poortsleutel word nie daarmee bevredig nie. Wanneer 'n vraag verskyn wat jy nie verwag het nie, vra die operateur aan watter laag dit hoort voordat jy raai.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Wat MOBIKE verander, en wat nie
IKEv2 kan 'n assosiasie na 'n nuwe adres skuif wanneer albei eindpunte MOBIKE ondersteun, wat die geval dek van 'n skootrekenaar wat van wifi na 'n selfoon se hotspot gaan sonder om die sekuriteitsassosiasie af te breek.
Dit hou nie elke toepassing oor daardie skuif aan die lewe nie. Die vervoervloei verander steeds van adres, sokke wat aan die ou een gebind is, breek steeds, en 'n beleid wat verkeer aan 'n koppelvlak vaspen, kan dit steeds laat val. Toets die oorgang wat jy werklik maak, of dit nou 'n netwerk verlaat, uit slaap wakker word of terugkom ná 'n lang periode van onaktiwiteit is, en kyk na die toepassing eerder as na die etiket Verbind.
Foutvorme wat hulle skei
'n L2TP/IPsec-profiel wat die poort bereik en dan stop, faal gewoonlik op een van twee vrae: die gedeelde sleutel of die PPP-aanmeldgegewens. 'n Verkeerde sleutel wys gewoonlik niks nuttigs in 'n kliëntlog nie, terwyl 'n verkeerde wagwoord 'n uitdruklike verifikasiweiering lewer, en die verskil sê vir jou waar om te kyk.
'n IKEv2-profiel faal vroeër en harder wanneer die identiteit of sertifikaat verkeerd is, want die beheerassosiasie voltooi nooit nie. As die assosiasie wel voltooi en verkeer faal steeds, het die probleem na die kindassosiasie, die verkeerskeërs of die roete geskuif, en geen verandering van aanmeldgegewens sal help nie.
Waar elkeen nog pas
L2TP/IPsec hou stand omdat dit op byna elke kliënt teenwoordig is en geen bykomende sagteware nodig het nie, wat saak maak vir 'n kontrakteur op 'n toestel wat jy nie bestuur nie. Die prys is die ekstra laag, die model met gedeelde geheim en 'n herverbinding ná elke adresverandering.
IKEv2 pas beter by bestuurde toestelle: sertifikaatidentiteit, skoner mobiliteit en een assosiasiefamilie om oor na te dink. Dit faal ook harder wanneer die kliënt oud is, so gaan die ondersteunde verifikasiemetode van die platform na voordat jy daarom ontwerp.
Die profiel toets wat jy gekry het
Bevestig eers die modus aan die bedienerkant en kies dan die kliëntprofiel wat daarby pas. Toets met die presiese gasheernaam en aanmeldgegewens wat vir daardie profiel uitgereik is, en verifieer die privaat bron eerder as 'n openbare werf.
As dit verbind en niks laai nie, werk die tonnel en nie die roete, die DNS of die verkeerskeër nie. Om op daardie punt die protokol te verander, begin die diagnose oor in plaas daarvan om dit te bevorder.