IKEv2 در برابر L2TP/IPsec: سرور شما کدام پروفایل را اجرا می‌کند؟
یک برچسب واحد دو پشته، سه گونه راز و رفتاری متفاوت هنگام تغییر نشانی را پنهان می‌کند. پیش از مقایسهٔ منوها لایه‌ها را از هم جدا کنید.
این دو نام در همان فهرست کشویی کنار هم می‌آیند، که به انتخاب میان دو گزینهٔ برابر دعوت می‌کند. اما برابر نیستند. L2TP یک پروتکل تونل‌سازی بدون محرمانگی درونی است، و حفاظت در سرویس L2TP/IPsec از لایهٔ IPsec می‌آید که دور آن پیچیده شده است. IKEv2 مستقیماً یک انجمن IPsec را مذاکره می‌کند و هیچ مرحلهٔ تونل در تونل ندارد. دانستن این‌که سرور شما کدام پشته را عرضه می‌کند، پروفایل، اعلان‌ها و آنچه را هنگام تغییر شبکهٔ لپ‌تاپ رخ می‌دهد تعیین می‌کند.
دو پشته، یک برچسب در کارخواه
L2TP نشستی نقطه‌به‌نقطه را روی UDP به درگاه 1701 می‌برد و رمزنگاری را به هر کس که آن را می‌پیچد می‌سپارد. آن را با IPsec جفت کنید و دو لایه به دست می‌آورید: انجمن IPsec که مسیر را حفاظت می‌کند، و درون آن نشست L2TP که قاب‌های لایهٔ پیوند کاربر و احراز هویت PPP را حمل می‌کند.
IKEv2 یک انجمن کنترل و سپس یک یا چند انجمن فرزند می‌سازد که ترافیک را حفاظت می‌کنند، همه در یک خانوادهٔ تبادل روی UDP 500 و 4500. هیچ پروتکل تونل درونی و هیچ مذاکرهٔ PPP وجود ندارد.
اعتبارنامه‌ها: سه راز روی سه لایه
اینجا بیشتر زمان پشتیبانی از دست می‌رود. پروفایل L2TP/IPsec می‌تواند کلید از پیش هم‌رسانده برای لایهٔ IPsec و نام کاربری با گذرواژه برای نشست PPP درونی بخواهد، و این دو را اجزای متفاوتی بررسی می‌کنند. کلید هم‌رسانده به‌طور کلی از آن دروازه است، پس هیچ‌کس را شناسایی نمی‌کند؛ تنها ثابت می‌کند که طرف مقابل رازی را می‌داند.
IKEv2 معمولاً از گواهی‌ها، یا EAP با نام کاربری و گذرواژه استفاده می‌کند و می‌تواند کلید از پیش هم‌رسانده هم به کار ببرد. این گزینه‌ها با جفت L2TP قابل تبادل نیستند. بازنشانی گذرواژه‌ای که ورود EAP ردشده را درست می‌کند هیچ کاری برای گواهی کارخواه منقضی‌شده نمی‌کند، و هر چند بار هم گذرواژهٔ حساب را دوباره بزنید، کلید نادرست دروازه را برآورده نمی‌کند. وقتی اعلانی ظاهر می‌شود که انتظارش را نداشتید، پیش از حدس زدن از بهره‌بردار بپرسید به کدام لایه تعلق دارد.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE چه چیزی را تغییر می‌دهد و چه چیزی را نه
IKEv2 می‌تواند انجمنی را به نشانی تازه جابه‌جا کند وقتی هر دو سر به MOBIKE پشتیبانی می‌دهند، که حالت خروج لپ‌تاپ از وای‌فای به نقطهٔ اتصال گوشی را بدون از هم پاشیدن انجمن امنیتی پوشش می‌دهد.
اما در این جابه‌جایی هر برنامه‌ای زنده نمی‌ماند. جریان انتقال باز هم نشانی عوض می‌کند، سوکت‌های بسته‌شده به نشانی کهنه باز هم می‌شکنند، و سیاستی که ترافیک را به یک واسط می‌دوزد باز هم می‌تواند آن را بیندازد. همان گذار واقعی خود را آزمایش کنید، چه ترک شبکه باشد، چه بیدار شدن از خواب یا بازگشت پس از دورهٔ بی‌کاری طولانی، و به برنامه نگاه کنید نه به برچسب «متصل».
شکل‌های شکست که آن دو را جدا می‌کند
پروفایل L2TP/IPsec که به دروازه می‌رسد و سپس می‌ایستد معمولاً روی یکی از دو اعلان شکست می‌خورد: کلید هم‌رسانده یا اعتبارنامه‌های PPP. کلید نادرست معمولاً چیز سودمندی در گزارش کارخواه نشان نمی‌دهد، در حالی که گذرواژهٔ نادرست رد صریح احراز هویت تولید می‌کند، و همین تفاوت می‌گوید کجا را بگردید.
پروفایل IKEv2 زودتر و پرصداتر شکست می‌خورد وقتی هویت یا گواهی نادرست است، چون انجمن کنترل هرگز کامل نمی‌شود. اگر انجمن کامل شود و ترافیک باز هم رد شود، مشکل به انجمن فرزند، گزینشگرهای ترافیک یا مسیر منتقل شده، و هیچ تغییر اعتبارنامه‌ای کمکی نمی‌کند.
هر کدام کجا هنوز می‌گنجد
L2TP/IPsec می‌ماند چون تقریباً روی هر کارخواهی هست و نرم‌افزار اضافی نمی‌خواهد، که برای پیمانکاری روی دستگاهی که مدیریتش نمی‌کنید مهم است. بهایش لایهٔ اضافی، مدل راز هم‌رسانده و اتصال دوباره پس از هر تغییر نشانی است.
IKEv2 برای دستگاه‌های مدیریت‌شده مناسب‌تر است: هویت با گواهی، جابه‌جایی پاکیزه‌تر و یک خانوادهٔ انجمن برای اندیشیدن. اما وقتی کارخواه کهنه باشد سخت‌تر هم شکست می‌خورد، پس پیش از طراحی بر پایهٔ آن، روش احراز هویتی را که سکو پشتیبانی می‌کند بررسی کنید.
آزمودن پروفایلی که به شما داده‌اند
نخست حالت را از سمت سرور تأیید کنید، سپس پروفایل کارخواه متناسب با آن را انتخاب کنید. با نام میزبان و اعتبارنامه‌های دقیقی که برای همان پروفایل صادر شده آزمایش کنید، و منبع خصوصی را بررسی کنید نه یک سایت عمومی.
اگر متصل می‌شود و چیزی بارگذاری نمی‌شود، تونل کار می‌کند و مسیر، DNS یا گزینشگر ترافیک کار نمی‌کند. تغییر پروتکل در آن نقطه تشخیص را از نو آغاز می‌کند نه این‌که پیش ببرد.