IKEv2 супраць L2TP/IPsec: які профіль працуе на вашым серверы?
Адна назва хавае два стэкі, тры віды сакрэту і розныя паводзіны пры змене адрасу. Разбярыцеся са слаямі, перш чым параўноўваць меню.
Гэтыя два назвы стаяць побач у тым самым выпадаючым спісе, што схіляе да выбару паміж роўнымі. Яны не роўныя. L2TP — гэта пратакол тунелявання без уласнай канфідэнцыйнасці, а абарона ў сэрвісе L2TP/IPsec паходзіць ад слоя IPsec, які яго абгортвае. IKEv2 наўпрост узгадняе IPsec-асацыяцыю і не мае кроку «тунэль у тунэлі». Веданне таго, які стэк прапануе ваш сервер, вызначае профіль, запыты і тое, што адбудзецца, калі ноўтбук зменіць сетку.
Два стэкі, адна назва ў кліенце
L2TP пераносіць сеанс «пункт-пункт» праз UDP на порт 1701 і пакідае шыфраванне таму, хто яго абгортвае. Злучыце яго з IPsec, і вы атрымаеце два слаі: IPsec-асацыяцыю, што абараняе шлях, і ўнутры яе сеанс L2TP, які пераносіць кадры канальнага ўзроўню карыстальніка і аўтэнтыфікацыю PPP.
IKEv2 стварае кіруючую асацыяцыю, а затым адну або некалькі даччыных асацыяцый, што абараняюць трафік, — усё ў адной сям’і абменаў на UDP 500 і 4500. Унутранага пратаколу тунелявання і перамоваў PPP няма.
Уліковыя даныя: тры сакрэты на трох слаях
Менавіта тут знікае большая частка часу падтрымкі. Профіль L2TP/IPsec можа запытаць папярэдне падзелены ключ для слоя IPsec і імя карыстальніка з паролем для ўнутранага сеансу PPP, і тое і другое правяраюць розныя кампаненты. Агульны ключ належыць шлюзу ў цэлым, таму ён нікога не ідэнтыфікуе; ён толькі даказвае, што другі бок ведае сакрэт.
IKEv2 звычайна выкарыстоўвае сертыфікаты або EAP з імем карыстальніка і паролем, а таксама можа выкарыстоўваць папярэдне падзелены ключ. Гэтыя варыянты не ўзаемазаменныя з парай L2TP. Скід пароля, які выпраўляе адхілены ўваход праз EAP, нічога не робіць для пратэрмінаванага кліенцкага сертыфіката, і колькі б разоў вы ні ўводзілі пароль уліковага запісу нанова, няправільны ключ шлюзу гэта не задаволіць. Калі з’яўляецца запыт, якога вы не чакалі, запытайце аператара, якому слою ён належыць, перш чым гадаць.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Што змяняе MOBIKE, а што не
IKEv2 можа перанесці асацыяцыю на новы адрас, калі абодва канцы падтрымліваюць MOBIKE, што ахоплівае выпадак, калі ноўтбук пераходзіць з Wi-Fi у кропку доступу тэлефона, не разрываючы асацыяцыю бяспекі.
Гэта не захоўвае жыццё кожнаму дадатку падчас такога пераносу. Транспартны паток усё роўна змяняе адрас, сокеты, прывязаныя да старога, усё роўна ламаюцца, а палітыка, што прывязвае трафік да інтэрфейсу, усё роўна можа яго адкінуць. Праверце пераход, які сапраўды выконваеце, ці то выхад з сеткі, абуджэнне са сну або вяртанне пасля доўгага прастою, і сачыце за дадаткам, а не за пазнакай «Падключана».
Формы адмовы, што іх раздзяляюць
Профіль L2TP/IPsec, які даходзіць да шлюзу і спыняецца, звычайна церпіць няўдачу на адным з двух запытаў: агульным ключы або ўліковых даных PPP. Няправільны ключ звычайна не паказвае ў журнале кліента нічога карыснага, тады як няправільны пароль дае відавочную адмову аўтэнтыфікацыі, і гэтая розніца кажа вам, дзе шукаць.
Профіль IKEv2 адмаўляе раней і гучней, калі няправільныя ідэнтычнасць або сертыфікат, бо кіруючая асацыяцыя так і не завяршаецца. Калі асацыяцыя завяршаецца, а трафік усё роўна не ідзе, праблема перамясцілася ў даччыную асацыяцыю, селектары трафіку або маршрут, і ніякая змена ўліковых даных не дапаможа.
Дзе кожны яшчэ дарэчы
L2TP/IPsec трымаецца, бо ён ёсць амаль на кожным кліенце і не патрабуе дадатковага праграмнага забеспячэння, што важна для падрадчыка на прыладзе, якой вы не кіруеце. Кошт — зайвы слой, мадэль агульнага сакрэту і перападключэнне пасля кожнай змены адрасу.
IKEv2 лепш пасуе кіраваным прыладам: ідэнтычнасць па сертыфікаце, чысцейшая мабільнасць і адна сям’я асацыяцый, пра якую трэба думаць. Ён таксама адмаўляе жорстчэй, калі кліент стары, таму праверце падтрымліваны платформай метад аўтэнтыфікацыі, перш чым будаваць вакол яго.
Праверка выдадзенага вам профілю
Спачатку пацвердзіце рэжым на баку сервера, затым выберыце кліенцкі профіль, што яму адпавядае. Правярайце з дакладным імем хоста і ўліковымі данымі, выдадзенымі для гэтага профілю, і пераканайцеся ў доступе да прыватнага рэсурсу, а не да публічнага сайта.
Калі злучэнне ўстанаўліваецца, а нічога не загружаецца, тунель працуе, а маршрут, DNS або селектар трафіку — не. Змена пратаколу ў гэты момант перазапускае дыягностыку замест таго, каб прасунуць яе.