IKEv2 neu L2TP/IPsec: pa broffil mae eich gweinydd yn ei redeg?
Mae un label yn cuddio dau stac, tri math o gyfrinach ac ymddygiad gwahanol pan fydd y cyfeiriad yn newid. Gwahanwch y haenau cyn cymharu'r bwydlenni.
Mae'r ddau enw yn ymddangos ochr yn ochr yn yr un gwymplen, sy'n eich gwahodd i ddewis rhwng dau gyfartal. Nid ydynt yn gyfartal. L2TP yw protocol twnelu heb gyfrinachedd ei hun, ac mae'r amddiffyniad mewn gwasanaeth L2TP/IPsec yn dod o'r haen IPsec sy'n cael ei lapio o'i gwmpas. Mae IKEv2 yn trafod cysylltiad IPsec yn uniongyrchol ac nid oes ganddo gam twnel y tu mewn i dwynel. Mae gwybod pa stac y mae eich gweinydd yn ei gynnig yn penderfynu'r proffil, yr anogwyr a'r hyn sy'n digwydd pan fydd y gliniadur yn newid rhwydwaith.
Dau stac, un label yn y cleient
Mae L2TP yn cario sesiwn pwynt-i-bwynt dros UDP i borth 1701 ac yn gadael y cyfrifiad i'r sawl sy'n ei lapio. Parwch ef ag IPsec a chewch ddwy haen: cysylltiad IPsec sy'n amddiffyn y llwybr, a sesiwn L2TP y tu mewn sy'n cario fframiau haen gyswllt y defnyddiwr a dilysu PPP.
Mae IKEv2 yn creu cysylltiad rheoli ac yna un neu fwy o gysylltiadau plentyn sy'n amddiffyn y traffig, i gyd mewn un teulu cyfnewid ar UDP 500 a 4500. Nid oes protocol twnelu mewnol na thrafodaeth PPP.
Cymwysterau: tair cyfrinach ar dair haen
Dyma lle mae'r rhan fwyaf o'r amser cymorth yn diflannu. Gall proffil L2TP/IPsec ofyn am allwedd a rannwyd ymlaen llaw ar gyfer yr haen IPsec ac enw defnyddiwr gyda chyfrinair ar gyfer y sesiwn PPP oddi mewn, ac mae'r ddau yn cael eu gwirio gan gydrannau gwahanol. Mae'r allwedd a rennir yn perthyn i'r porth cyfan, felly nid yw'n adnabod neb; dim ond profi bod y parti arall yn gwybod cyfrinach.
Mae IKEv2 fel arfer yn defnyddio tystysgrifau, neu EAP gydag enw defnyddiwr a chyfrinair, a gall ddefnyddio allwedd a rannwyd ymlaen llaw hefyd. Nid yw'r opsiynau hynny'n gyfnewidiadwy gyda phâr L2TP. Nid yw ailosod cyfrinair sy'n trwsio mewngofnod EAP a wrthodwyd yn gwneud dim i dystysgrif cleient sydd wedi dod i ben, ac ni fydd ail-deipio cyfrinair y cyfrif dro ar ôl tro yn bodloni allwedd porth anghywir. Pan fydd anogwr annisgwyl yn ymddangos, gofynnwch i'r gweithredwr pa haen y mae'n perthyn iddi cyn dyfalu.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Beth mae MOBIKE yn ei newid, a beth nad yw
Gall IKEv2 symud cysylltiad i gyfeiriad newydd pan fydd y ddau ben yn cefnogi MOBIKE, sy'n cwmpasu'r achos o liniadur yn gadael Wi-Fi am hotspot ffôn heb rwygo'r cysylltiad diogelwch.
Nid yw'n cadw pob rhaglen yn fyw drwy'r symudiad hwnnw. Mae'r llif cludo yn dal i newid cyfeiriad, mae socedi wedi'u rhwymo i'r hen gyfeiriad yn dal i dorri, a gall polisi sy'n pinio traffig i ryngwyneb ei ollwng o hyd. Profwch y newid yr ydych yn ei wneud mewn gwirionedd, boed yn gadael rhwydwaith, yn deffro o gwsg neu'n dychwelyd ar ôl cyfnod hir o anweithgarwch, a gwyliwch y rhaglen yn hytrach na'r label Connected.
Siapiau methiant sy'n eu gwahanu
Mae proffil L2TP/IPsec sy'n cyrraedd y porth ac yn stopio fel arfer yn methu ar un o ddau anogwr: yr allwedd a rennir neu gymwysterau PPP. Nid yw allwedd anghywir fel arfer yn dangos dim defnyddiol yng nghofnod y cleient, tra bod cyfrinair anghywir yn cynhyrchu gwrthodiad dilysu pendant, ac mae'r gwahaniaeth hwnnw'n dweud wrthych ble i edrych.
Mae proffil IKEv2 yn methu'n gynt ac yn uwch pan fydd yr hunaniaeth neu'r dystysgrif yn anghywir, oherwydd nad yw'r cysylltiad rheoli byth yn cwblhau. Os yw'r cysylltiad yn cwblhau ac mae'r traffig yn dal i fethu, mae'r broblem wedi symud i'r cysylltiad plentyn, y dewiswyr traffig neu'r llwybr, ac ni fydd unrhyw newid cymwysterau yn helpu.
Lle mae pob un yn dal i ffitio
Mae L2TP/IPsec yn parhau oherwydd ei fod ar gael ar bron bob cleient ac nad oes angen meddalwedd ychwanegol, sy'n bwysig i gontractwr ar ddyfais nad ydych yn ei rheoli. Y gost yw'r haen ychwanegol, y model cyfrinach a rennir ac ailgysylltu ar ôl pob newid cyfeiriad.
Mae IKEv2 yn ffitio dyfeisiau a reolir yn well: hunaniaeth dystysgrif, symudedd glanach, ac un teulu cysylltiadau i resymu amdano. Mae hefyd yn methu'n galetach pan fydd y cleient yn hen, felly gwiriwch y dull dilysu a gefnogir gan y platfform cyn dylunio o'i gwmpas.
Profi'r proffil a roddwyd i chi
Cadarnhewch y modd o du'r gweinydd yn gyntaf, yna dewiswch y proffil cleient sy'n cyfateb iddo. Profwch gyda'r enw gwesteiwr a'r cymwysterau union a gyhoeddwyd ar gyfer y proffil hwnnw, a gwirio'r adnodd preifat yn hytrach na safle cyhoeddus.
Os yw'n cysylltu ac nid oes dim yn llwytho, mae'r twnnel yn gweithio ac nid yw'r llwybr, DNS na'r dewisydd traffig yn gweithio. Mae newid protocol ar y pwynt hwnnw yn ailgychwyn y diagnosis yn hytrach na'i symud ymlaen.