IKEv2 gegen L2TP/IPsec: Welches Profil läuft auf Ihrem Server?
Ein einziger Name verbirgt zwei Stapel, drei Arten von Geheimnis und ein anderes Verhalten beim Adresswechsel. Sortieren Sie die Schichten, bevor Sie die Menüs vergleichen.
Die beiden Namen stehen im selben Dropdown-Menü nebeneinander, was eine Wahl zwischen Gleichwertigem nahelegt. Sie sind nicht gleichwertig. L2TP ist ein Tunnelprotokoll ohne eigene Vertraulichkeit, und der Schutz eines L2TP/IPsec-Dienstes kommt von der IPsec-Schicht, die es umhüllt. IKEv2 handelt direkt eine IPsec-Assoziation aus und hat keinen Schritt Tunnel im Tunnel. Zu wissen, welchen Stapel Ihr Server anbietet, entscheidet über das Profil, die Eingabeaufforderungen und darüber, was passiert, wenn der Laptop das Netz wechselt.
Zwei Stapel, eine Bezeichnung im Client
L2TP führt eine Punkt-zu-Punkt-Sitzung über UDP zu Port 1701 und überlässt die Verschlüsselung dem, der es umhüllt. Kombinieren Sie es mit IPsec, erhalten Sie zwei Schichten: eine IPsec-Assoziation, die den Pfad schützt, und darin eine L2TP-Sitzung, die die Link-Layer-Frames des Benutzers und die PPP-Authentifizierung transportiert.
IKEv2 erstellt eine Steuerungsassoziation und dann eine oder mehrere Kind-Assoziationen, die den Datenverkehr schützen, alles in einer Austauschfamilie auf UDP 500 und 4500. Es gibt kein inneres Tunnelprotokoll und keine PPP-Aushandlung.
Anmeldedaten: drei Geheimnisse auf drei Schichten
Hier verschwindet der größte Teil der Support-Zeit. Ein L2TP/IPsec-Profil kann einen vorab geteilten Schlüssel für die IPsec-Schicht und einen Benutzernamen mit Passwort für die innere PPP-Sitzung verlangen, und beide werden von unterschiedlichen Komponenten geprüft. Der geteilte Schlüssel gehört zum Gateway als Ganzes, er identifiziert also niemanden; er beweist nur, dass die Gegenseite ein Geheimnis kennt.
IKEv2 verwendet üblicherweise Zertifikate oder EAP mit Benutzername und Passwort und kann auch einen vorab geteilten Schlüssel nutzen. Diese Optionen sind nicht mit dem L2TP-Paar austauschbar. Ein Passwort-Reset, der eine abgelehnte EAP-Anmeldung behebt, bewirkt nichts für ein abgelaufenes Client-Zertifikat, und noch so häufiges Neueintippen des Kontopassworts erfüllt keinen falschen Gateway-Schlüssel. Wenn eine Aufforderung erscheint, die Sie nicht erwartet haben, fragen Sie den Betreiber, zu welcher Schicht sie gehört, bevor Sie raten.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Was MOBIKE ändert und was nicht
IKEv2 kann eine Assoziation auf eine neue Adresse verschieben, wenn beide Endpunkte MOBIKE unterstützen, was den Fall abdeckt, dass ein Laptop von WLAN zu einem Handy-Hotspot wechselt, ohne die Sicherheitsassoziation abzubauen.
Es hält nicht jede Anwendung über diesen Wechsel am Leben. Der Transportfluss ändert trotzdem die Adresse, Sockets, die an die alte gebunden sind, brechen trotzdem, und eine Richtlinie, die Datenverkehr an ein Interface bindet, kann ihn trotzdem verwerfen. Testen Sie den Übergang, den Sie tatsächlich durchführen, ob das Verlassen eines Netzes, das Aufwachen aus dem Ruhezustand oder die Rückkehr nach langer Leerlaufzeit, und beobachten Sie die Anwendung statt des Etiketts Verbunden.
Fehlerbilder, die sie unterscheiden
Ein L2TP/IPsec-Profil, das das Gateway erreicht und dann stehen bleibt, scheitert meist an einer von zwei Aufforderungen: dem geteilten Schlüssel oder den PPP-Anmeldedaten. Ein falscher Schlüssel zeigt im Client-Protokoll meist nichts Nützliches, während ein falsches Passwort eine ausdrückliche Authentifizierungsablehnung erzeugt, und dieser Unterschied sagt Ihnen, wo Sie suchen müssen.
Ein IKEv2-Profil scheitert früher und lauter, wenn die Identität oder das Zertifikat falsch ist, weil die Steuerungsassoziation nie zustande kommt. Kommt die Assoziation zustande und scheitert der Verkehr weiterhin, ist das Problem in die Kind-Assoziation, die Traffic-Selectors oder die Route gewandert, und keine Änderung der Anmeldedaten hilft.
Wo jedes noch passt
L2TP/IPsec hält sich, weil es auf fast jedem Client vorhanden ist und keine zusätzliche Software braucht, was für einen Dienstleister auf einem Gerät zählt, das Sie nicht verwalten. Der Preis ist die zusätzliche Schicht, das Modell des geteilten Geheimnisses und eine Neuverbindung nach jedem Adresswechsel.
IKEv2 passt besser zu verwalteten Geräten: Zertifikatsidentität, saubere Mobilität und eine einzige Assoziationsfamilie zum Nachdenken. Es scheitert auch härter, wenn der Client alt ist, prüfen Sie also die unterstützte Authentifizierungsmethode der Plattform, bevor Sie darum herum planen.
Das Profil testen, das Sie bekommen haben
Bestätigen Sie zuerst den Modus auf der Serverseite und wählen Sie dann das passende Client-Profil. Testen Sie mit dem genauen Hostnamen und den Anmeldedaten, die für dieses Profil ausgegeben wurden, und prüfen Sie die private Ressource statt einer öffentlichen Seite.
Wenn es verbindet und nichts lädt, funktioniert der Tunnel und nicht die Route, das DNS oder der Traffic-Selector. Jetzt das Protokoll zu wechseln, startet die Diagnose neu, statt sie voranzubringen.