IKEv2 ή L2TP/IPsec: ποιο προφίλ τρέχει ο διακομιστής σας;

Τα δύο ονόματα εμφανίζονται δίπλα δίπλα στο ίδιο αναπτυσσόμενο μενού, κάτι που προσκαλεί σε επιλογή ανάμεσα σε ίσα. Δεν είναι ίσα. L2TP είναι πρωτόκολλο σήραγγας χωρίς δική του εμπιστευτικότητα, και η προστασία σε μια υπηρεσία L2TP/IPsec προέρχεται από το επίπεδο IPsec που το τυλίγει. Το IKEv2 διαπραγματεύεται απευθείας μια συσχέτιση IPsec και δεν έχει βήμα σήραγγας μέσα σε σήραγγα. Το να ξέρετε ποια στοίβα προσφέρει ο διακομιστής σας καθορίζει το προφίλ, τις προτροπές και το τι συμβαίνει όταν ο φορητός αλλάζει δίκτυο.

Δύο στοίβες, μία ετικέτα στον πελάτη

Το L2TP μεταφέρει μια συνεδρία σημείο προς σημείο πάνω από UDP στη θύρα 1701 και αφήνει την κρυπτογράφηση σε όποιον το τυλίγει. Συνδυάστε το με IPsec και παίρνετε δύο επίπεδα: μια συσχέτιση IPsec που προστατεύει τη διαδρομή και, μέσα της, μια συνεδρία L2TP που μεταφέρει τα πλαίσια επιπέδου ζεύξης του χρήστη και τον έλεγχο ταυτότητας PPP.

Το IKEv2 δημιουργεί μια συσχέτιση ελέγχου και στη συνέχεια μία ή περισσότερες θυγατρικές συσχετίσεις που προστατεύουν την κίνηση, όλα σε μία οικογένεια ανταλλαγών στο UDP 500 και 4500. Δεν υπάρχει εσωτερικό πρωτόκολλο σήραγγας ούτε διαπραγμάτευση PPP.

Διαπιστευτήρια: τρία μυστικά σε τρία επίπεδα

Εδώ εξαφανίζεται ο περισσότερος χρόνος υποστήριξης. Ένα προφίλ L2TP/IPsec μπορεί να ζητήσει ένα προ-κοινόχρηστο κλειδί για το επίπεδο IPsec και ένα όνομα χρήστη με κωδικό για την εσωτερική συνεδρία PPP, και τα δύο τα ελέγχουν διαφορετικά στοιχεία. Το κοινόχρηστο κλειδί ανήκει στην πύλη ως σύνολο, άρα δεν ταυτοποιεί κανέναν· αποδεικνύει μόνο ότι η άλλη πλευρά γνωρίζει ένα μυστικό.

Το IKEv2 χρησιμοποιεί συνήθως πιστοποιητικά ή EAP με όνομα χρήστη και κωδικό, και μπορεί επίσης να χρησιμοποιήσει προ-κοινόχρηστο κλειδί. Αυτές οι επιλογές δεν είναι ανταλλάξιμες με το ζεύγος L2TP. Μια επαναφορά κωδικού που διορθώνει μια απορριφθείσα σύνδεση EAP δεν κάνει τίποτα για ένα ληγμένο πιστοποιητικό πελάτη, και όσες φορές κι αν ξαναπληκτρολογήσετε τον κωδικό του λογαριασμού, ένα λάθος κλειδί πύλης δεν θα ικανοποιηθεί. Όταν εμφανιστεί μια προτροπή που δεν περιμένατε, ρωτήστε τον διαχειριστή σε ποιο επίπεδο ανήκει πριν μαντέψετε.

Τι αλλάζει το MOBIKE και τι όχι

Το IKEv2 μπορεί να μετακινήσει μια συσχέτιση σε νέα διεύθυνση όταν και τα δύο άκρα υποστηρίζουν MOBIKE, κάτι που καλύπτει την περίπτωση φορητού που φεύγει από wifi για hotspot τηλεφώνου χωρίς να διαλύσει τη συσχέτιση ασφαλείας.

Δεν κρατά ζωντανή κάθε εφαρμογή κατά τη μετακίνηση αυτή. Η ροή μεταφοράς αλλάζει ούτως ή άλλως διεύθυνση, οι υποδοχές που είναι δεσμευμένες στην παλιά σπάνε ούτως ή άλλως, και μια πολιτική που καρφιτσώνει την κίνηση σε μια διεπαφή μπορεί ούτως ή άλλως να τη ρίξει. Δοκιμάστε τη μετάβαση που κάνετε πραγματικά, είτε φεύγετε από δίκτυο, είτε ξυπνάτε από αναστολή, είτε επιστρέφετε μετά από μεγάλη αδράνεια, και κοιτάξτε την εφαρμογή και όχι την ετικέτα Συνδεδεμένο.

Μορφές αποτυχίας που τα ξεχωρίζουν

Ένα προφίλ L2TP/IPsec που φτάνει στην πύλη και μετά σταματά συνήθως αποτυγχάνει σε μία από δύο προτροπές: το κοινόχρηστο κλειδί ή τα διαπιστευτήρια PPP. Ένα λάθος κλειδί συνήθως δεν δείχνει τίποτα χρήσιμο στο αρχείο καταγραφής του πελάτη, ενώ ένας λάθος κωδικός παράγει ρητή απόρριψη ταυτοποίησης, και η διαφορά σας λέει πού να κοιτάξετε.

Ένα προφίλ IKEv2 αποτυγχάνει νωρίτερα και πιο δυνατά όταν η ταυτότητα ή το πιστοποιητικό είναι λάθος, επειδή η συσχέτιση ελέγχου δεν ολοκληρώνεται ποτέ. Αν η συσχέτιση ολοκληρωθεί και η κίνηση εξακολουθεί να αποτυγχάνει, το πρόβλημα έχει μεταφερθεί στη θυγατρική συσχέτιση, στους επιλογείς κίνησης ή στη διαδρομή, και καμία αλλαγή διαπιστευτηρίων δεν βοηθά.

Πού χωρά ακόμη το καθένα

Το L2TP/IPsec επιμένει επειδή υπάρχει σχεδόν σε κάθε πελάτη και δεν απαιτεί πρόσθετο λογισμικό, κάτι που μετρά για έναν εξωτερικό συνεργάτη σε συσκευή που δεν διαχειρίζεστε. Το κόστος είναι το επιπλέον επίπεδο, το μοντέλο του κοινού μυστικού και μια επανασύνδεση μετά από κάθε αλλαγή διεύθυνσης.

Το IKEv2 ταιριάζει καλύτερα σε διαχειριζόμενες συσκευές: ταυτότητα μέσω πιστοποιητικού, καθαρότερη κινητικότητα και μία οικογένεια συσχετίσεων για να σκεφτείτε. Αποτυγχάνει επίσης σκληρότερα όταν ο πελάτης είναι παλιός, οπότε ελέγξτε τη μέθοδο ταυτοποίησης που υποστηρίζει η πλατφόρμα πριν σχεδιάσετε γύρω της.

Δοκιμή του προφίλ που σας έδωσαν

Επιβεβαιώστε πρώτα τη λειτουργία από την πλευρά του διακομιστή και μετά επιλέξτε το προφίλ πελάτη που ταιριάζει. Δοκιμάστε με το ακριβές όνομα κεντρικού υπολογιστή και τα διαπιστευτήρια που εκδόθηκαν για αυτό το προφίλ, και επαληθεύστε τον ιδιωτικό πόρο αντί για έναν δημόσιο ιστότοπο.

Αν συνδέεται και δεν φορτώνει τίποτα, η σήραγγα δουλεύει και η διαδρομή, το DNS ή ο επιλογέας κίνησης όχι. Η αλλαγή πρωτοκόλλου σε εκείνο το σημείο επανεκκινεί τη διάγνωση αντί να την προχωρήσει.