IKEv2 vs L2TP/IPsec: millist profiili teie server käitab?
Üks silt peidab kaks virna, kolme liiki saladust ja teistsuguse käitumise, kui aadress muutub. Harutage kihid lahti enne menüüde võrdlemist.
Kaks nime seisavad kõrvuti samas rippmenüüs, mis kutsub valima võrdsete vahel. Need ei ole võrdsed. L2TP on tunneliprotokoll, millel pole oma konfidentsiaalsust, ja L2TP/IPsec-teenuse kaitse tuleb seda ümbritsevast IPsec-kihist. IKEv2 peab IPsec-assotsiatsiooni üle otse ja sellel pole tunnel-tunneli-sees sammu. Teadmine, millist virna teie server pakub, määrab profiili, viibad ja selle, mis juhtub, kui sülearvuti võrku vahetab.
Kaks virna, üks silt kliendis
L2TP kannab punkt-punkti sessiooni UDP kaudu pordile 1701 ja jätab krüpteerimise sellele, kes selle mässib. Siduge see IPseciga ja saate kaks kihti: teed kaitsva IPsec-assotsiatsiooni ja selle sees L2TP-sessiooni, mis kannab kasutaja lülilise kihi kaadreid ja PPP-autentimist.
IKEv2 loob juhtassotsiatsiooni ja seejärel ühe või mitu alamsotsiatsiooni, mis liiklust kaitsevad, kõik ühes vahetusperes UDP 500 ja 4500 peal. Sisemist tunneliprotokolli ega PPP-läbirääkimisi pole.
Kasutajaandmed: kolm saladust kolmel kihil
Siin kaob suurem osa toe ajast. L2TP/IPsec-profiil võib küsida IPsec-kihile eeljagatud võtit ning sisemise PPP-sessiooni jaoks kasutajanime ja parooli, ja neid kontrollivad erinevad komponendid. Jagatud võti kuulub lüüsile tervikuna, seega ei identifitseeri see kedagi; see tõestab vaid, et vastaspool teab saladust.
IKEv2 kasutab tavaliselt sertifikaate või EAP-d kasutajanime ja parooliga ning võib kasutada ka eeljagatud võtit. Need valikud ei ole L2TP-paariga vahetatavad. Parooli lähtestamine, mis parandab tagasilükatud EAP-sisselogimise, ei tee vananenud kliendisertifikaadi jaoks midagi, ja ükskõik kui mitu korda te kontoparooli uuesti sisestate, vale lüüsivõti ei saa sellega rahuldatud. Kui ilmub viip, mida te ei oodanud, küsige haldajalt, millisesse kihti see kuulub, enne kui hakkate oletama.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Mida MOBIKE muudab ja mida mitte
IKEv2 saab assotsiatsiooni uude aadressi viia, kui mõlemad otsad toetavad MOBIKEt, mis katab juhtumi, kus sülearvuti lahkub wifist telefonihotspoti, ilma turvaassotsiatsiooni lammutamata.
See ei hoia selle ülemineku ajal iga rakendust elus. Transpordivoog vahetab ikkagi aadressi, vana külge seotud soklid katkevad ikkagi, ja liiklust liidese külge naelutav põhimõte võib selle ikkagi maha visata. Testige üleminekut, mille tegelikult teete, olgu selleks võrgust lahkumine, unest ärkamine või naasmine pika jõudeaja järel, ja jälgige rakendust, mitte silti Ühendatud.
Rikkevormid, mis neid eristavad
L2TP/IPsec-profiil, mis jõuab lüüsini ja siis peatub, ebaõnnestub tavaliselt ühel kahest viibast: jagatud võti või PPP-kasutajaandmed. Vale võti ei näita kliendilogis tavaliselt midagi kasulikku, samas kui vale parool annab selgesõnalise autentimise tagasilükkamise, ja see erinevus ütleb, kust otsida.
IKEv2-profiil ebaõnnestub varem ja valjemalt, kui identiteet või sertifikaat on vale, sest juhtassotsiatsioon ei valmi kunagi. Kui assotsiatsioon valmib ja liiklus ikkagi ei toimi, on probleem liikunud alamsotsiatsiooni, liikluse valijatesse või marsruudile, ja ükski kasutajaandmete muudatus ei aita.
Kuhu kumbki veel sobib
L2TP/IPsec püsib, sest see on peaaegu igas kliendis ja ei nõua lisatarkvara, mis loeb välistöötajale seadmel, mida te ei halda. Hind on lisakiht, jagatud saladuse mudel ja uuesti ühendamine pärast iga aadressimuudatust.
IKEv2 sobib paremini hallatavatele seadmetele: sertifikaadipõhine identiteet, puhtam liikuvus ja üks assotsiatsioonipere, mille üle mõelda. See ebaõnnestub ka kõvemini, kui klient on vana, seega kontrollige platvormi toetatud autentimismeetodit enne selle ümber projekteerimist.
Saadud profiili testimine
Kinnitage esmalt režiim serveri poolel, seejärel valige sellele vastav kliendiprofiil. Testige profiili jaoks väljastatud täpse hostinime ja kasutajaandmetega ning kontrollige privaatset ressurssi, mitte avalikku saiti.
Kui see ühendub ja midagi ei laadi, töötab tunnel ja ei tööta marsruut, DNS või liikluse valija. Protokolli vahetamine sel hetkel taaskäivitab diagnoosi, selle asemel et seda edasi viia.