IKEv2 frente a L2TP/IPsec: ¿qué perfil ejecuta tu servidor?
Una sola etiqueta esconde dos pilas, tres tipos de secreto y un comportamiento distinto cuando cambia la dirección. Ordena las capas antes de comparar los menús.
Los dos nombres aparecen juntos en el mismo menú desplegable, lo que invita a elegir entre iguales. No son iguales. L2TP es un protocolo de túnel sin confidencialidad propia, y la protección de un servicio L2TP/IPsec viene de la capa IPsec que lo envuelve. IKEv2 negocia directamente una asociación IPsec y no tiene ningún paso de túnel dentro de túnel. Saber qué pila ofrece tu servidor decide el perfil, los avisos y lo que ocurre cuando el portátil cambia de red.
Dos pilas, una etiqueta en el cliente
L2TP transporta una sesión punto a punto sobre UDP hasta el puerto 1701 y deja el cifrado a quien lo envuelve. Emparéjalo con IPsec y obtienes dos capas: una asociación IPsec que protege el camino y, dentro, una sesión L2TP que lleva las tramas de capa de enlace del usuario y la autenticación PPP.
IKEv2 crea una asociación de control y luego una o varias asociaciones hijas que protegen el tráfico, todo en una misma familia de intercambios sobre UDP 500 y 4500. No hay protocolo de túnel interno ni negociación PPP.
Credenciales: tres secretos repartidos en tres capas
Aquí es donde desaparece la mayor parte del tiempo de soporte. Un perfil L2TP/IPsec puede pedir una clave precompartida para la capa IPsec y un nombre de usuario con contraseña para la sesión PPP interior, y ambas cosas las comprueban componentes distintos. La clave compartida pertenece a la pasarela en conjunto, así que no identifica a nadie; solo demuestra que el par conoce un secreto.
IKEv2 suele usar certificados, o EAP con nombre de usuario y contraseña, y también puede usar una clave precompartida. Esas opciones no son intercambiables con el par L2TP. Un restablecimiento de contraseña que arregla un inicio de sesión EAP rechazado no hace nada por un certificado de cliente caducado, y por mucho que reescribas la contraseña de la cuenta nunca satisfarás una clave de pasarela equivocada. Cuando aparezca un aviso que no esperabas, pregunta al operador a qué capa pertenece antes de adivinar.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Qué cambia MOBIKE y qué no
IKEv2 puede mover una asociación a una dirección nueva cuando ambos extremos admiten MOBIKE, lo que cubre el caso de un portátil que pasa del wifi al punto de acceso de un teléfono sin desmontar la asociación de seguridad.
No mantiene viva todas las aplicaciones durante ese movimiento. El flujo de transporte cambia igualmente de dirección, los sockets ligados a la anterior se rompen igualmente, y una política que fija el tráfico a una interfaz puede descartarlo igualmente. Prueba la transición que haces de verdad, ya sea salir de una red, despertar del reposo o volver tras un periodo largo de inactividad, y mira la aplicación en lugar de la etiqueta Conectado.
Formas de fallo que los separan
Un perfil L2TP/IPsec que llega a la pasarela y se detiene suele fallar en uno de dos avisos: la clave compartida o las credenciales PPP. Una clave equivocada normalmente no muestra nada útil en el registro del cliente, mientras que una contraseña equivocada produce un rechazo de autenticación explícito, y esa diferencia te dice dónde mirar.
Un perfil IKEv2 falla antes y más ruidosamente cuando la identidad o el certificado son incorrectos, porque la asociación de control nunca se completa. Si la asociación se completa y el tráfico sigue fallando, el problema se ha trasladado a la asociación hija, a los selectores de tráfico o a la ruta, y ningún cambio de credenciales ayudará.
Dónde sigue encajando cada uno
L2TP/IPsec persiste porque está presente en casi todos los clientes y no necesita software adicional, lo que importa a un técnico externo en un dispositivo que no administras. El precio es la capa extra, el modelo de secreto compartido y una reconexión tras cada cambio de dirección.
IKEv2 encaja mejor en dispositivos gestionados: identidad por certificado, movilidad más limpia y una sola familia de asociaciones sobre la que razonar. También falla con más dureza cuando el cliente es antiguo, así que comprueba el método de autenticación admitido por la plataforma antes de diseñar en torno a él.
Probar el perfil que te han dado
Confirma primero el modo en el lado del servidor y luego elige el perfil de cliente que encaje con él. Prueba con el nombre de host y las credenciales exactos emitidos para ese perfil, y verifica el recurso privado en lugar de un sitio público.
Si conecta y no carga nada, el túnel funciona y la ruta, el DNS o el selector de tráfico no. Cambiar de protocolo en ese punto reinicia el diagnóstico en vez de avanzarlo.