IKEv2 enfront de L2TP/IPsec: quin perfil executa el teu servidor?
Una sola etiqueta amaga dues piles, tres menes de secret i un comportament diferent quan canvia l’adreça. Ordena les capes abans de comparar els menús.
Els dos noms apareixen l’un al costat de l’altre al mateix menú desplegable, cosa que convida a triar entre iguals. No són iguals. L2TP és un protocol de túnel sense confidencialitat pròpia, i la protecció d’un servei L2TP/IPsec ve de la capa IPsec que l’embolcalla. IKEv2 negocia directament una associació IPsec i no té cap pas de túnel dins de túnel. Saber quina pila ofereix el teu servidor decideix el perfil, els avisos i què passa quan el portàtil canvia de xarxa.
Dues piles, una etiqueta al client
L2TP transporta una sessió punt a punt sobre UDP fins al port 1701 i deixa el xifrat a qui l’embolcalla. Combina’l amb IPsec i obtens dues capes: una associació IPsec que protegeix el camí i, a dins, una sessió L2TP que porta les trames de capa d’enllaç de l’usuari i l’autenticació PPP.
IKEv2 crea una associació de control i després una o més associacions filles que protegeixen el trànsit, tot en una sola família d’intercanvis sobre UDP 500 i 4500. No hi ha protocol de túnel intern ni negociació PPP.
Credencials: tres secrets repartits en tres capes
Aquí és on desapareix la major part del temps de suport. Un perfil L2TP/IPsec pot demanar una clau prèviament compartida per a la capa IPsec i un nom d’usuari amb contrasenya per a la sessió PPP interior, i les dues coses les comproven components diferents. La clau compartida pertany a la passarel·la en conjunt, així que no identifica ningú; només demostra que el parell coneix un secret.
IKEv2 fa servir habitualment certificats, o EAP amb nom d’usuari i contrasenya, i també pot fer servir una clau prèviament compartida. Aquestes opcions no són intercanviables amb el parell L2TP. Un restabliment de contrasenya que arregla un inici de sessió EAP rebutjat no fa res per un certificat de client caducat, i per molt que reescriguis la contrasenya del compte no satisfaràs mai una clau de passarel·la equivocada. Quan aparegui un avís que no esperaves, pregunta a l’operador a quina capa pertany abans d’endevinar.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Què canvia MOBIKE i què no
IKEv2 pot moure una associació a una adreça nova quan tots dos extrems admeten MOBIKE, cosa que cobreix el cas d’un portàtil que passa del wifi al punt d’accés d’un telèfon sense desmuntar l’associació de seguretat.
No manté viva totes les aplicacions durant aquest moviment. El flux de transport canvia igualment d’adreça, els sockets lligats a l’anterior es trenquen igualment, i una política que fixa el trànsit a una interfície el pot descartar igualment. Prova la transició que fas de debò, tant si és sortir d’una xarxa, despertar del repòs o tornar després d’un període llarg d’inactivitat, i mira l’aplicació en lloc de l’etiqueta Connectat.
Formes de fallada que els separen
Un perfil L2TP/IPsec que arriba a la passarel·la i s’atura tendeix a fallar en un de dos avisos: la clau compartida o les credencials PPP. Una clau equivocada normalment no mostra res d’útil al registre del client, mentre que una contrasenya equivocada produeix un rebuig d’autenticació explícit, i aquesta diferència et diu on mirar.
Un perfil IKEv2 falla abans i més sorollosament quan la identitat o el certificat són incorrectes, perquè l’associació de control no es completa mai. Si l’associació es completa i el trànsit continua fallant, el problema s’ha traslladat a l’associació filla, als selectors de trànsit o a la ruta, i cap canvi de credencials ajudarà.
On encara encaixa cadascun
L2TP/IPsec persisteix perquè és present a gairebé tots els clients i no necessita programari addicional, cosa que importa a un tècnic extern en un dispositiu que no administres. El preu és la capa extra, el model de secret compartit i una reconnexió després de cada canvi d’adreça.
IKEv2 encaixa millor en dispositius gestionats: identitat per certificat, mobilitat més neta i una sola família d’associacions sobre la qual raonar. També falla amb més duresa quan el client és antic, així que comprova el mètode d’autenticació admès per la plataforma abans de dissenyar-hi al voltant.
Provar el perfil que t’han donat
Confirma primer el mode al costat del servidor i després tria el perfil de client que hi encaixi. Prova amb el nom d’amfitrió i les credencials exactes emesos per a aquest perfil, i verifica el recurs privat en lloc d’un lloc públic.
Si connecta i no carrega res, el túnel funciona i la ruta, el DNS o el selector de trànsit no. Canviar de protocol en aquest punt reinicia el diagnòstic en lloc de fer-lo avançar.