IKEv2 versus L2TP/IPsec: který profil běží na vašem serveru?

Obě jména stojí vedle sebe ve stejné rozbalovací nabídce, což svádí k volbě mezi rovnocennými. Rovnocenná nejsou. L2TP je tunelovací protokol bez vlastní důvěrnosti a ochrana ve službě L2TP/IPsec pochází z vrstvy IPsec, která ho obaluje. IKEv2 vyjednává asociaci IPsec přímo a nemá žádný krok tunelu v tunelu. Vědět, který zásobník váš server nabízí, určuje profil, výzvy a to, co se stane, když notebook změní síť.

Dva zásobníky, jeden štítek v klientu

L2TP přenáší relaci bod-bod přes UDP na port 1701 a šifrování nechává na tom, kdo ho obalí. Spojte ho s IPsec a získáte dvě vrstvy: asociaci IPsec, která chrání cestu, a uvnitř ní relaci L2TP, která přenáší linkové rámce uživatele a autentizaci PPP.

IKEv2 vytvoří řídicí asociaci a poté jednu nebo více podřízených asociací, které chrání provoz, to vše v jedné rodině výměn na UDP 500 a 4500. Neexistuje žádný vnitřní tunelovací protokol ani vyjednávání PPP.

Přihlašovací údaje: tři tajemství ve třech vrstvách

Tady mizí většina času podpory. Profil L2TP/IPsec může chtít předsdílený klíč pro vrstvu IPsec a uživatelské jméno s heslem pro vnitřní relaci PPP, a obojí kontrolují různé komponenty. Sdílený klíč patří bráně jako celku, takže nikoho neidentifikuje; pouze dokazuje, že protistrana zná tajemství.

IKEv2 obvykle používá certifikáty nebo EAP s uživatelským jménem a heslem a může použít i předsdílený klíč. Tyto možnosti nejsou zaměnitelné s dvojicí L2TP. Reset hesla, který spraví odmítnuté přihlášení EAP, nic neudělá pro propadlý klientský certifikát a ať heslo účtu přepisujete sebevíc, špatný klíč brány tím neuspokojíte. Když se objeví výzva, kterou jste nečekali, zeptejte se provozovatele, ke které vrstvě patří, než začnete hádat.

Co MOBIKE mění a co ne

IKEv2 může přesunout asociaci na novou adresu, když oba konce podporují MOBIKE, což pokrývá případ, kdy notebook opustí wifi a přejde na hotspot telefonu, aniž by rozebral bezpečnostní asociaci.

Nezachová ale při tom přesunu život každé aplikaci. Přenosový tok přesto mění adresu, sokety vázané na starou se přesto rozbíjejí a zásada, která připíná provoz k rozhraní, ho přesto může zahodit. Otestujte přechod, který skutečně provádíte, ať už jde o opuštění sítě, probuzení ze spánku nebo návrat po dlouhé nečinnosti, a sledujte aplikaci, ne štítek Připojeno.

Podoby selhání, které je oddělují

Profil L2TP/IPsec, který se dostane k bráně a pak se zastaví, obvykle selže na jedné ze dvou výzev: sdíleném klíči nebo přihlašovacích údajích PPP. Špatný klíč obvykle v klientském protokolu nic užitečného neukáže, zatímco špatné heslo vyvolá výslovné odmítnutí autentizace, a ten rozdíl vám řekne, kam se dívat.

Profil IKEv2 selhává dřív a hlasitěji, když je identita nebo certifikát špatný, protože řídicí asociace se nikdy nedokončí. Pokud se asociace dokončí a provoz přesto selhává, problém se přesunul do podřízené asociace, do selektorů provozu nebo do trasy, a žádná změna přihlašovacích údajů nepomůže.

Kde se každý ještě hodí

L2TP/IPsec přetrvává, protože je na téměř každém klientu a nepotřebuje další software, což je důležité pro externího technika na zařízení, které nespravujete. Cenou je vrstva navíc, model sdíleného tajemství a opětovné připojení po každé změně adresy.

IKEv2 se hodí lépe ke spravovaným zařízením: identita certifikátem, čistší mobilita a jedna rodina asociací, o které je třeba uvažovat. Také selhává tvrději, když je klient starý, proto si před návrhem kolem něj ověřte podporovanou metodu autentizace platformy.

Testování profilu, který jste dostali

Nejprve potvrďte režim na straně serveru, potom vyberte klientský profil, který k němu patří. Testujte s přesným názvem hostitele a údaji vydanými pro tento profil a ověřujte soukromý zdroj, ne veřejný web.

Pokud se připojí a nic se nenačítá, tunel funguje a trasa, DNS nebo selektor provozu ne. Změna protokolu v tu chvíli diagnostiku restartuje, místo aby ji posunula.