IKEv2 في مقابل L2TP/IPsec: أي ملف تعريف يعمل على خادمك؟
التسمية الواحدة تخفي حزمتين وثلاثة أنواع من السر وسلوكًا مختلفًا عند تغيّر العنوان. رتّب الطبقات قبل أن تقارن القوائم.
يظهر الاسمان جنبًا إلى جنب في القائمة المنسدلة نفسها، وهذا يوحي باختيار بين متساويين. لكنهما ليسا متساويين. L2TP هو بروتوكول أنفاق لا يوفّر سرية بذاته، والحماية في خدمة L2TP/IPsec تأتي من طبقة IPsec التي تلتف حوله. أما IKEv2 فيتفاوض مباشرة على اقتران IPsec وليس فيه خطوة نفق داخل نفق. معرفة الحزمة التي يقدّمها خادمك تحدّد الملف التعريفي والرسائل وما يحدث عندما يغيّر الحاسوب المحمول شبكته.
حزمتان وتسمية واحدة في العميل
ينقل L2TP جلسة من نقطة إلى نقطة عبر UDP إلى المنفذ 1701 ويترك التشفير لمن يلتف حوله. اقرنه بـ IPsec فتحصل على طبقتين: اقتران IPsec يحمي المسار، وداخله جلسة L2TP تحمل إطارات طبقة الوصلة للمستخدم ومصادقة PPP.
ينشئ IKEv2 اقتران تحكّم ثم اقترانًا فرعيًا واحدًا أو أكثر يحمي حركة المرور، وكل ذلك في عائلة تبادل واحدة على UDP 500 و4500. لا يوجد بروتوكول نفق داخلي ولا تفاوض PPP.
بيانات الاعتماد: ثلاثة أسرار على ثلاث طبقات
هنا يضيع معظم وقت الدعم. يمكن أن يطلب ملف L2TP/IPsec مفتاحًا مشتركًا مسبقًا لطبقة IPsec واسم مستخدم مع كلمة مرور لجلسة PPP الداخلية، وكلاهما تتحقق منه مكوّنات مختلفة. المفتاح المشترك يخصّ البوابة ككل، فهو لا يعرّف بأحد؛ إنما يثبت أن الطرف الآخر يعرف سرًّا.
يستخدم IKEv2 عادةً الشهادات، أو EAP مع اسم مستخدم وكلمة مرور، ويمكنه استخدام مفتاح مشترك مسبقًا كذلك. هذه الخيارات ليست قابلة للتبادل مع زوج L2TP. إعادة تعيين كلمة المرور التي تصلح دخول EAP مرفوضًا لا تفعل شيئًا لشهادة عميل منتهية، ومهما أعدت كتابة كلمة مرور الحساب فلن ترضي مفتاح بوابة خاطئًا. عندما تظهر رسالة لم تتوقعها، اسأل المشغّل عن الطبقة التي تنتمي إليها قبل أن تخمّن.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
ما يغيّره MOBIKE وما لا يغيّره
يستطيع IKEv2 نقل اقتران إلى عنوان جديد عندما يدعم الطرفان MOBIKE، وهذا يغطّي حالة حاسوب محمول يترك الواي فاي إلى نقطة اتصال هاتف دون تفكيك اقتران الأمان.
لكنه لا يبقي كل تطبيق حيًّا خلال هذا النقل. فتدفّق النقل يغيّر عنوانه على أي حال، والمقابس المرتبطة بالعنوان القديم تنكسر على أي حال، وسياسة تثبّت الحركة على واجهة يمكن أن تُسقطها على أي حال. اختبر الانتقال الذي تقوم به فعلًا، سواء كان مغادرة شبكة أو استيقاظًا من السبات أو عودة بعد فترة خمول طويلة، وراقب التطبيق لا تسمية متصل.
أشكال الفشل التي تفصل بينهما
ملف L2TP/IPsec الذي يصل إلى البوابة ثم يتوقف يفشل عادةً عند إحدى رسالتين: المفتاح المشترك أو بيانات PPP. المفتاح الخاطئ لا يُظهر عادةً شيئًا مفيدًا في سجل العميل، بينما كلمة المرور الخاطئة تُنتج رفضًا صريحًا للمصادقة، وهذا الفرق يخبرك أين تنظر.
ملف IKEv2 يفشل أبكر وبصوت أعلى عندما تكون الهوية أو الشهادة خاطئة، لأن اقتران التحكّم لا يكتمل أبدًا. وإذا اكتمل الاقتران وظلّت الحركة تفشل، فقد انتقلت المشكلة إلى الاقتران الفرعي أو محدّدات الحركة أو المسار، ولن يساعد أي تغيير في بيانات الاعتماد.
أين يبقى كل واحد مناسبًا
يبقى L2TP/IPsec لأنه موجود على كل عميل تقريبًا ولا يحتاج برنامجًا إضافيًا، وهذا يهم متعاقدًا على جهاز لا تديره. الثمن هو الطبقة الإضافية ونموذج السر المشترك وإعادة الاتصال بعد كل تغيّر في العنوان.
IKEv2 أنسب للأجهزة المُدارة: هوية بالشهادة، وحركة أنظف، وعائلة اقتران واحدة للتفكير فيها. لكنه يفشل بقوة أكبر عندما يكون العميل قديمًا، لذا تحقّق من طريقة المصادقة التي تدعمها المنصّة قبل التصميم حوله.
اختبار الملف التعريفي الذي أُعطي لك
أكّد الوضع من جهة الخادم أولًا، ثم اختر ملف العميل المطابق له. اختبر باسم المضيف وبيانات الاعتماد الدقيقة الصادرة لذلك الملف، وتحقق من المورد الخاص لا من موقع عام.
إذا اتصل ولم يُحمّل شيء، فالنفق يعمل والمسار أو DNS أو محدّد الحركة لا يعمل. وتغيير البروتوكول عند تلك النقطة يعيد تشغيل التشخيص بدلًا من دفعه إلى الأمام.