IKEv2 kontra L2TP/IPsec: hvilken profil kører din server?
Én etiket skjuler to stakke, tre slags hemmeligheder og en anden adfærd, når adressen skifter. Red ud af lagene, før du sammenligner menuerne.
De to navne står side om side i samme rullemenu, hvilket inviterer til et valg mellem ligeværdige. De er ikke ligeværdige. L2TP er en tunnelprotokol uden egen fortrolighed, og beskyttelsen i en L2TP/IPsec-tjeneste kommer fra det IPsec-lag, der pakker den ind. IKEv2 forhandler direkte en IPsec-association og har ikke noget trin med tunnel i tunnel. At vide, hvilken stak din server tilbyder, afgør profilen, prompterne og hvad der sker, når laptop'en skifter netværk.
To stakke, én etiket i klienten
L2TP bærer en punkt-til-punkt-session over UDP til port 1701 og overlader krypteringen til den, der pakker den ind. Par den med IPsec, og du får to lag: en IPsec-association, der beskytter vejen, og indeni en L2TP-session, der bærer brugerens linklag-rammer og PPP-godkendelsen.
IKEv2 opretter en kontrolassociation og derefter en eller flere underordnede associationer, der beskytter trafikken, alt i én udvekslingsfamilie på UDP 500 og 4500. Der er ingen indre tunnelprotokol og ingen PPP-forhandling.
Legitimationsoplysninger: tre hemmeligheder på tre lag
Det er her, det meste supporttid forsvinder. En L2TP/IPsec-profil kan bede om en forud delt nøgle til IPsec-laget og et brugernavn med adgangskode til PPP-sessionen indeni, og de to kontrolleres af forskellige komponenter. Den delte nøgle tilhører gatewayen som helhed, så den identificerer ingen; den beviser kun, at modparten kender en hemmelighed.
IKEv2 bruger ofte certifikater eller EAP med brugernavn og adgangskode, og det kan også bruge en forud delt nøgle. De muligheder kan ikke udskiftes med L2TP-parret. En nulstilling af adgangskoden, der løser et afvist EAP-login, gør intet for et udløbet klientcertifikat, og uanset hvor mange gange du taster kontoens adgangskode, opfylder det ikke en forkert gatewaynøgle. Når der dukker en prompt op, du ikke forventede, så spørg driftspersonen, hvilket lag den hører til, før du gætter.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Hvad MOBIKE ændrer, og hvad det ikke gør
IKEv2 kan flytte en association til en ny adresse, når begge endepunkter understøtter MOBIKE, hvilket dækker tilfældet, hvor en laptop forlader wifi til fordel for et hotspot fra en telefon uden at nedbryde sikkerhedsassociationen.
Det holder ikke hver applikation i live gennem den flytning. Transportstrømmen skifter stadig adresse, sockets bundet til den gamle brækker stadig, og en politik, der fastlåser trafik til en grænseflade, kan stadig tabe den. Test den overgang, du faktisk laver, hvad enten det er at forlade et netværk, vågne fra dvale eller komme tilbage efter en lang inaktiv periode, og hold øje med applikationen i stedet for etiketten Forbundet.
Fejlformer, der skiller dem
En L2TP/IPsec-profil, der når gatewayen og så stopper, fejler typisk på en af to prompter: den delte nøgle eller PPP-legitimationsoplysningerne. En forkert nøgle viser normalt intet brugbart i en klientlog, mens en forkert adgangskode giver en udtrykkelig afvisning af godkendelsen, og forskellen fortæller dig, hvor du skal kigge.
En IKEv2-profil fejler tidligere og højere, når identiteten eller certifikatet er forkert, fordi kontrolassociationen aldrig bliver færdig. Bliver associationen færdig, og fejler trafikken stadig, er problemet flyttet til den underordnede association, trafikvælgerne eller ruten, og ingen ændring af legitimationsoplysninger hjælper.
Hvor hver især stadig passer
L2TP/IPsec holder ved, fordi det findes på næsten enhver klient og ikke kræver ekstra software, hvilket betyder noget for en konsulent på en enhed, du ikke administrerer. Prisen er det ekstra lag, modellen med delt hemmelighed og en genopkobling efter hver adresseændring.
IKEv2 passer bedre til administrerede enheder: certifikatidentitet, renere mobilitet og én associationsfamilie at tænke over. Det fejler også hårdere, når klienten er gammel, så kontroller platformens understøttede godkendelsesmetode, før du designer omkring den.
Test den profil, du har fået
Bekræft først tilstanden på serversiden, og vælg derefter den klientprofil, der passer til den. Test med det nøjagtige værtsnavn og de legitimationsoplysninger, der er udstedt til den profil, og bekræft den private ressource i stedet for et offentligt websted.
Hvis den opretter forbindelse, og intet indlæses, virker tunnelen, og det gør ruten, DNS'en eller trafikvælgeren ikke. At skifte protokol på det tidspunkt genstarter diagnosen i stedet for at føre den frem.