IKEv2 aŭ L2TP/IPsec: kiun profilon rulas via servilo?
Unu etikedo kaŝas du stakojn, tri specojn de sekretoj kaj alian konduton kiam la adreso ŝanĝiĝas. Apartigu la tavolojn antaŭ ol kompari la menuojn.
La du nomoj aperas unu apud la alia en la sama falmenuo, kio invitas elekton inter du egaluloj. Ili ne estas egaluloj. L2TP estas tunela protokolo sen propra konfidenco, kaj la protekto en L2TP/IPsec-servo venas de la IPsec-tavolo ĉirkaŭvolvita ĉirkaŭ ĝi. IKEv2 rekte intertraktas IPsec-asocion kaj ne havas paŝon de tunelo ene de tunelo. Scii kiun stakon via servilo proponas decidas la profilon, la invitojn kaj tion, kio okazas kiam la tekokomputilo ŝanĝas reton.
Du stakoj, unu etikedo en la kliento
L2TP portas punkt-al-punktan sesion super UDP ĝis la pordo 1701 kaj lasas la ĉifradon al tiu, kiu ĉirkaŭvolvas ĝin. Parigu ĝin kun IPsec kaj vi ricevas du tavolojn: IPsec-asocio protektanta la vojon, kaj L2TP-sesio interne portanta la ligtavolajn kadrojn de la uzanto kaj PPP-aŭtentikigon.
IKEv2 kreas kontrolasocion kaj poste unu aŭ pliajn infanasociojn kiuj protektas la trafikon, ĉiuj en unu interŝanĝa familio sur UDP 500 kaj 4500. Ne ekzistas interna tunela protokolo nek PPP-intertraktado.
Akreditiloj: tri sekretoj sur tri tavoloj
Ĉi tie malaperas la plej granda parto de subtena tempo. L2TP/IPsec-profino povas peti antaŭdividitan ŝlosilon por la IPsec-tavolo kaj uzantnomon kun pasvorto por la interna PPP-sesio, kaj la duon kontrolas malsamaj komponantoj. La dividita ŝlosilo apartenas al la tuta enirejo, do ĝi identigas neniun; ĝi nur pruvas, ke la alia flanko konas sekreton.
IKEv2 kutime uzas atestilojn, aŭ EAP kun uzantnomo kaj pasvorto, kaj povas ankaŭ uzi antaŭdividitan ŝlosilon. Tiuj opcioj ne estas interŝanĝeblaj kun la L2TP-paro. Pasvorta restarigo, kiu riparas rifuzitan EAP-ensaluton, faras nenion por eksvalidiĝinta klienta atestilo, kaj kiom ajn vi retajpus la kontan pasvorton, malĝusta enireja ŝlosilo ne estos kontentigita. Kiam aperas neatendita invito, demandu la operatoron al kiu tavolo ĝi apartenas antaŭ ol diveni.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Kion MOBIKE ŝanĝas, kaj kion ne
IKEv2 povas movi asocion al nova adreso kiam ambaŭ finoj subtenas MOBIKE, kio kovras la kazon de tekokomputilo forlasanta Wi-Fi por telefona konektopunkto sen ŝiri la sekurecan asocion.
Ĝi ne tenas ĉiun aplikaĵon viva dum tiu movo. La transporta fluo ankoraŭ ŝanĝas adreson, ingoj ligitaj al la malnova adreso ankoraŭ rompiĝas, kaj politiko kiu fiksas trafikon al interfaco ankoraŭ povas faligi ĝin. Testu la transiron, kiun vi efektive faras, ĉu forlasi reton, vekiĝi el dormo aŭ reveni post longa neaktiveco, kaj rigardu la aplikaĵon anstataŭ la etikedon Connected.
Malsukcesaj formoj, kiuj disigas ilin
L2TP/IPsec-profino, kiu atingas la enirejon kaj haltas, kutime malsukcesas ĉe unu el du invitoj: la dividita ŝlosilo aŭ la PPP-akreditiloj. Malĝusta ŝlosilo kutime montras nenion utilan en la klienta protokolo, dum malĝusta pasvorto produktas eksplicitan aŭtentikigan rifuzon, kaj tiu diferenco diras al vi kie serĉi.
IKEv2-profino malsukcesas pli frue kaj pli laŭte kiam la identeco aŭ atestilo estas malĝusta, ĉar la kontrolasocio neniam finiĝas. Se la asocio finiĝas kaj la trafiko ankoraŭ malsukcesas, la problemo moviĝis al la infanasocio, la trafik-elektiloj aŭ la vojo, kaj neniu akreditila ŝanĝo helpos.
Kie ĉiu ankoraŭ taŭgas
L2TP/IPsec daŭras ĉar ĝi ekzistas en preskaŭ ĉiu kliento kaj ne bezonas plian programaron, kio gravas por kontraktisto sur aparato, kiun vi ne administras. La kosto estas la plia tavolo, la dividita-sekreta modelo kaj rekonekto post ĉiu adresa ŝanĝo.
IKEv2 pli taŭgas por administrataj aparatoj: atestila identeco, pli pura movebleco, kaj unu asocia familio pri kiu rezonu. Ĝi ankaŭ malsukcesas pli severe kiam la kliento estas malnova, do kontrolu la subtenatan aŭtentikigan metodon de la platformo antaŭ ol desegni ĉirkaŭ ĝi.
Testi la profilon, kiun vi ricevis
Unue konfirmu la reĝimon de la servila flanko, poste elektu la klientan profilon, kiu kongruas kun ĝi. Testu per la ĝusta gastigantnomo kaj la akreditiloj elsenditaj por tiu profilo, kaj kontrolu la privatan rimedon anstataŭ publikan retejon.
Se ĝi konektiĝas kaj nenio ŝargiĝas, la tunelo funkcias kaj la vojo, DNS aŭ trafik-elektilo ne funkcias. Ŝanĝi la protokolon en tiu punkto rekomencigas la diagnozon anstataŭ antaŭenigi ĝin.