IKEv2 və L2TP/IPsec: serveriniz hansı profili işlədir?
Tək bir etiket iki yığını, üç növ sirri və ünvan dəyişəndə fərqli davranışı gizlədir. Menyuları müqayisə etməzdən əvvəl qatları ayırın.
İki ad eyni açılan siyahıda yan-yana durur, bu da bərabərlər arasında seçim təəssüratı yaradır. Onlar bərabər deyillər. L2TP öz məxfiliyi olmayan tunel protokoludur və L2TP/IPsec xidmətindəki müdafiə onu əhatə edən IPsec qatından gəlir. IKEv2 birbaşa IPsec assosiasiyası razılaşdırır və tunel içində tunel addımı yoxdur. Serverinizin hansı yığın təklif etdiyini bilmək profili, sorğuları və noutbuk şəbəkəni dəyişdikdə nə olacağını müəyyən edir.
İki yığın, klientdə bir etiket
L2TP UDP üzərindən 1701 portuna nöqtədən-nöqtəyə sessiya daşıyır və şifrələməni onu əhatə edənə buraxır. Onu IPsec ilə cütləşdirin və iki qat əldə edin: yolu qoruyan IPsec assosiasiyası və onun içində istifadəçinin kanal qatı çərçivələrini və PPP autentifikasiyasını daşıyan L2TP sessiyası.
IKEv2 idarəetmə assosiasiyası, sonra trafiki qoruyan bir və ya bir neçə alt assosiasiya yaradır; hamısı UDP 500 və 4500 üzərində bir mübadilə ailəsində. Daxili tunel protokolu və PPP danışığı yoxdur.
Kimlik məlumatları: üç qatda üç sirr
Dəstək vaxtının çoxu burada yox olur. L2TP/IPsec profili IPsec qatı üçün əvvəlcədən paylaşılan açar və içəridəki PPP sessiyası üçün istifadəçi adı ilə parol istəyə bilər və ikisini fərqli komponentlər yoxlayır. Paylaşılan açar bütövlükdə şlüzə məxsusdur, ona görə heç kimi identifikasiya etmir; yalnız qarşı tərəfin bir sirr bildiyini sübut edir.
IKEv2 adətən sertifikatlardan və ya istifadəçi adı və parolla EAP-dən istifadə edir və əvvəlcədən paylaşılan açardan da istifadə edə bilər. Bu seçimlər L2TP cütü ilə dəyişdirilə bilməz. Rədd edilmiş EAP girişini düzəldən parol sıfırlaması vaxtı keçmiş klient sertifikatı üçün heç nə etmir və hesab parolunu neçə dəfə yenidən yazsanız da səhv şlüz açarını təmin etməyəcəksiniz. Gözləmədiyiniz bir sorğu çıxdıqda, təxmin etməzdən əvvəl operatora onun hansı qata aid olduğunu soruşun.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE nəyi dəyişir, nəyi dəyişmir
IKEv2 hər iki uc MOBIKE dəstəklədikdə assosiasiyanı yeni ünvana köçürə bilər; bu, noutbukun təhlükəsizlik assosiasiyasını sökmədən wifi-dən telefon hotspotuna keçməsi halını əhatə edir.
Bu köçmə zamanı hər tətbiqi canlı saxlamır. Nəqliyyat axını yenə də ünvan dəyişir, köhnə ünvana bağlı soketlər yenə də qırılır və trafiki interfeysə bərkidən siyasət onu yenə də ata bilər. Həqiqətən etdiyiniz keçidi sınayın — istər şəbəkədən çıxmaq, istər yuxudan oyanmaq, istərsə də uzun fasilədən sonra qayıtmaq olsun — və Bağlandı etiketinə deyil, tətbiqə baxın.
Onları ayıran nasazlıq formaları
Şlüzə çatıb dayanan L2TP/IPsec profili adətən iki sorğudan birində uğursuz olur: paylaşılan açar və ya PPP kimlik məlumatları. Səhv açar klient jurnalında adətən faydalı heç nə göstərmir, səhv parol isə açıq autentifikasiya rəddi yaradır və bu fərq sizə hara baxmaq lazım olduğunu deyir.
IKEv2 profili kimlik və ya sertifikat səhv olduqda daha erkən və daha yüksək səslə uğursuz olur, çünki idarəetmə assosiasiyası heç vaxt tamamlanmır. Assosiasiya tamamlanır və trafik yenə də uğursuz olursa, problem alt assosiasiyaya, trafik seçicilərinə və ya marşruta keçmişdir və heç bir kimlik məlumatı dəyişikliyi kömək etməyəcək.
Hər biri hələ hara uyğun gəlir
L2TP/IPsec demək olar ki, hər klientdə olduğu və əlavə proqram tələb etmədiyi üçün qalır; bu, idarə etmədiyiniz cihazda işləyən podratçı üçün vacibdir. Qiyməti əlavə qat, paylaşılan sirr modeli və hər ünvan dəyişikliyindən sonra yenidən qoşulmadır.
IKEv2 idarə olunan cihazlara daha yaxşı uyğun gəlir: sertifikat kimliyi, daha təmiz mobillik və üzərində düşünmək üçün bir assosiasiya ailəsi. Klient köhnə olduqda da daha sərt uğursuz olur, ona görə ətrafında dizayn etməzdən əvvəl platformanın dəstəklədiyi autentifikasiya metodunu yoxlayın.
Sizə verilən profili sınamaq
Əvvəlcə server tərəfindəki rejimi təsdiqləyin, sonra ona uyğun klient profilini seçin. Həmin profil üçün verilmiş dəqiq host adı və kimlik məlumatları ilə sınayın və ictimai sayt yerinə özəl resursu yoxlayın.
Qoşulur və heç nə yüklənmirsə, tunel işləyir, marşrut, DNS və ya trafik seçicisi işləmir. Həmin nöqtədə protokolu dəyişmək diaqnostikanı irəli aparmaq əvəzinə yenidən başladır.