IKEv2 edo L2TP/IPsec: zein profil exekutatzen du zure zerbitzariak?
Etiketa batek bi pila, hiru sekretu mota eta helbidea aldatzean portaera desberdina ezkutatzen ditu. Bereizi geruzak menuak alderatu aurretik.
Bi izenak elkarren ondoan agertzen dira goitibeherako zerrenda berean, eta horrek berdinak diren bi aukeren artean aukeratzera gonbidatzen zaitu. Ez dira berdinak. L2TP konfidentzialtasun propiorik ez duen tunelatze protokoloa da, eta L2TP/IPsec zerbitzuan babesa inguruan bildutako IPsec geruzatik dator. IKEv2-k zuzenean negoziatzen du IPsec elkarte bat eta ez du tunelaren barruan tunelik egiteko urratsik. Zure zerbitzariak zein pila eskaintzen duen jakiteak erabakitzen du profila, eskaerak eta ordenagailu eramangarriak sarez aldatzean gertatuko dena.
Bi pila, etiketa bakarra bezeroan
L2TP-k UDP bidez puntutik punturako saio bat eramaten du 1701 portura arte eta zifratzea inguratzen duenari uzten dio. IPsecrekin parekatzen baduzu bi geruza lortuko dituzu: bidea babesten duen IPsec elkartea, eta barruan erabiltzailearen lotura-geruzako markoak eta PPP autentifikazioa daramatzan L2TP saioa.
IKEv2-k kontrol elkarte bat sortzen du eta ondoren trafikoa babesten duten haur elkarte bat edo gehiago, guztiak UDP 500 eta 4500-n truke familia berean. Ez dago barneko tunelatze protokolorik eta ezta PPP negoziaziorik ere.
Kredentzialak: hiru sekretu hiru geruzatan
Hemen galtzen da laguntza-denboraren zatirik handiena. L2TP/IPsec profileak IPsec geruzarako aldez aurretik partekatutako gako bat eta barneko PPP saiorako erabiltzaile-izena pasahitzarekin eska ditzake, eta biak osagai desberdinek egiaztatzen dituzte. Partekatutako gakoa atari osoarena da, beraz ez du inor identifikatzen; beste aldeak sekretu bat ezagutzen duela frogatzen du soilik.
IKEv2-k normalean ziurtagiriak erabiltzen ditu, edo EAP erabiltzaile-izenarekin eta pasahitzarekin, eta aldez aurretik partekatutako gakoa ere erabil dezake. Aukera horiek ez dira L2TP bikotearekin trukagarriak. EAP saio-hasiera baztertu bat konpontzen duen pasahitz berrezarpenak ez dio ezer egiten iraungitako bezero ziurtagiri bati, eta kontuaren pasahitza zenbat aldiz idatzi ere, atari gako oker bat ez da beteko. Espero ez duzun eskaera bat agertzen bada, galdetu operadoreari zein geruzari dagokion asmatu aurretik.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Zer aldatzen du MOBIKEk, eta zer ez
IKEv2-k elkarte bat helbide berrira eraman dezake bi muturrek MOBIKE onartzen dutenean, eta horrek ordenagailu eramangarria Wi-Fi utzi eta telefono hotspot batera igarotzeko kasua estaltzen du segurtasun elkartea apurtu gabe.
Ez ditu aplikazio guztiak bizirik mantentzen mugimendu horretan zehar. Garraio-fluxuak helbidea aldatzen du oraindik, helbide zaharrarekin lotutako socketak oraindik hausten dira, eta interfaze batean trafikoa finkatzen duen politikak oraindik bota dezake. Probatu benetan egiten duzun trantsizioa, hau da, sare bat uztea, loalditik esnatzea edo inaktibitate luze baten ondoren itzultzea, eta begiratu aplikazioa Connected etiketari beharrean.
Hauek bereizten dituzten hutsegite-formak
Atarira iritsi eta gelditzen den L2TP/IPsec profileak normalean bi eskaeretako batean huts egiten du: partekatutako gakoan edo PPP kredentzialetan. Gako oker batek normalean ez du ezer erabilgarririk erakusten bezeroaren erregistroan, pasahitz okerrak autentifikazio-ukapen argia sortzen duen bitartean, eta alde horrek esaten dizu non begiratu.
IKEv2 profileak lehenago eta ozenago huts egiten du identitatea edo ziurtagiria okerra denean, kontrol elkartea inoiz osatzen ez delako. Elkartea osatu eta trafikoak huts egiten badu oraindik, arazoa haur elkartera, trafiko-hautatzailera edo bidera joan da, eta kredentzialen aldaketak ez du lagunduko.
Non sartzen den bakoitza oraindik
L2TP/IPsec irauten du ia bezero guztietan dagoelako eta software gehigarririk behar ez duelako, eta hori garrantzitsua da zuk kudeatzen ez duzun gailu batean lan egiten duen kontratistarentzat. Kostua geruza gehigarria, sekretu partekatuaren eredua eta helbide-aldaketaren ondorengo berriz konektatzea dira.
IKEv2 gailu kudeatuetarako egokiagoa da: ziurtagiri bidezko identitatea, mugikortasun garbiagoa eta arrazoitzeko elkarte familia bakarra. Gogorrago huts egiten du bezeroa zaharra denean, beraz egiaztatu plataformak onartzen duen autentifikazio-metodoa horren inguruan diseinatu aurretik.
Jaso duzun profila probatzea
Lehenengo berretsi modua zerbitzariaren aldetik, gero aukeratu harekin bat datorren bezero profila. Probatu profil horretarako emandako ostalari-izen eta kredentzial zehatzekin, eta egiaztatu baliabide pribatua eta ez gune publikoa.
Konektatzen bada eta ezer kargatzen ez bada, tunela funtzionatzen ari da eta bidea, DNSa edo trafiko-hautatzailea ez. Une horretan protokoloa aldatzeak diagnostikoa berritzen du, ez aurrera eramaten.