IKEv2 vai L2TP/IPsec: kumpaa profiilia palvelimesi käyttää?
Yksi nimike kätkee kaksi pinoa, kolmenlaisia salaisuuksia ja erilaisen käytöksen, kun osoite vaihtuu. Selvitä kerrokset ennen kuin vertailet valikoita.
Nimet seisovat vierekkäin samassa avattavassa valikossa, mikä houkuttaa valitsemaan tasavertaisten välillä. Ne eivät ole tasavertaisia. L2TP on tunnelointiprotokolla, jolla ei ole omaa luottamuksellisuutta, ja L2TP/IPsec-palvelun suoja tulee sitä ympäröivästä IPsec-kerroksesta. IKEv2 neuvottelee IPsec-yhteyden suoraan, eikä siinä ole tunnelia tunnelin sisällä -vaihetta. Tieto siitä, mitä pinoa palvelimesi tarjoaa, ratkaisee profiilin, kehotteet ja sen, mitä tapahtuu, kun kannettava vaihtaa verkkoa.
Kaksi pinoa, yksi nimike asiakkaassa
L2TP kuljettaa pisteestä pisteeseen -istunnon UDP:n yli porttiin 1701 ja jättää salauksen sille, joka sen käärii. Yhdistä se IPsecin kanssa, niin saat kaksi kerrosta: polun suojaavan IPsec-yhteyden ja sen sisällä L2TP-istunnon, joka kuljettaa käyttäjän siirtokerroksen kehykset ja PPP-todennuksen.
IKEv2 luo ohjausyhteyden ja sitten yhden tai useamman liikennettä suojaavan aliyhteyden, kaikki yhdessä vaihtoperheessä UDP 500 ja 4500 -porteilla. Sisäistä tunnelointiprotokollaa tai PPP-neuvottelua ei ole.
Tunnistetiedot: kolme salaisuutta kolmella kerroksella
Tähän katoaa suurin osa tukiajasta. L2TP/IPsec-profiili voi pyytää esijaetun avaimen IPsec-kerrokselle ja käyttäjätunnuksen salasanan kanssa sisäiselle PPP-istunnolle, ja kaksi eri komponenttia tarkistaa ne. Jaettu avain kuuluu yhdyskäytävälle kokonaisuutena, joten se ei tunnista ketään; se todistaa vain, että vastapuoli tuntee salaisuuden.
IKEv2 käyttää yleensä varmenteita tai EAP:ta käyttäjätunnuksella ja salasanalla, ja se voi käyttää myös esijaettua avainta. Ne vaihtoehdot eivät ole vaihdettavissa L2TP-parin kanssa. Salasanan palautus, joka korjaa hylätyn EAP-kirjautumisen, ei tee mitään vanhentuneelle asiakasvarmenteelle, ja vaikka kuinka kirjoittaisit tilin salasanaa uudelleen, väärää yhdyskäytäväavainta et sillä tyydytä. Kun eteen tulee kehote, jota et odottanut, kysy operaattorilta, mihin kerrokseen se kuuluu, ennen kuin arvaat.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Mitä MOBIKE muuttaa ja mitä ei
IKEv2 voi siirtää yhteyden uuteen osoitteeseen, kun molemmat päät tukevat MOBIKEa, mikä kattaa tapauksen, jossa kannettava siirtyy wifistä puhelimen hotspotiin purkamatta suojausyhteyttä.
Se ei pidä jokaista sovellusta elossa siirron aikana. Siirtovirta vaihtaa silti osoitetta, vanhaan sidotut socketit katkeavat silti, ja käyttöliittymään liikennettä naulitseva käytäntö voi silti pudottaa sen. Testaa siirtymä, jonka todella teet, olipa se verkosta lähteminen, unesta herääminen tai pitkän joutokauden jälkeen palaaminen, ja seuraa sovellusta älä Yhdistetty-nimikettä.
Vikamuodot, jotka erottavat ne
L2TP/IPsec-profiili, joka saavuttaa yhdyskäytävän ja pysähtyy, epäonnistuu yleensä toisessa kahdesta kehotteesta: jaetussa avaimessa tai PPP-tunnistetiedoissa. Väärä avain ei yleensä näytä asiakaslokissa mitään hyödyllistä, kun taas väärä salasana tuottaa selkeän todennuksen hylkäyksen, ja tämä ero kertoo, mistä etsiä.
IKEv2-profiili epäonnistuu aikaisemmin ja äänekkäämmin, kun identiteetti tai varmenne on väärä, koska ohjausyhteys ei koskaan valmistu. Jos yhteys valmistuu ja liikenne silti epäonnistuu, ongelma on siirtynyt aliyhteyteen, liikenteen valitsimiin tai reittiin, eikä tunnistetietojen muutos auta.
Mihin kumpikin vielä sopii
L2TP/IPsec säilyy, koska se on lähes jokaisessa asiakkaassa eikä vaadi lisäohjelmistoa, millä on merkitystä ulkopuoliselle tekijälle laitteella, jota et hallinnoi. Hinta on ylimääräinen kerros, jaetun salaisuuden malli ja uudelleenyhdistäminen jokaisen osoitemuutoksen jälkeen.
IKEv2 sopii hallittuihin laitteisiin paremmin: varmennepohjainen identiteetti, siistimpi liikkuvuus ja yksi yhteysperhe, jota miettiä. Se epäonnistuu myös kovemmin, kun asiakas on vanha, joten tarkista alustan tuettu todennusmenetelmä ennen kuin suunnittelet sen ympärille.
Saadun profiilin testaaminen
Vahvista ensin tila palvelinpuolella ja valitse sitten sitä vastaava asiakasprofiili. Testaa profiilille myönnetyllä tarkalla isäntänimellä ja tunnistetiedoilla ja varmista yksityinen resurssi julkisen sivuston sijaan.
Jos se yhdistää eikä mitään lataudu, tunneli toimii ja reitti, DNS tai liikenteen valitsin ei. Protokollan vaihtaminen siinä kohdassa käynnistää diagnoosin uudelleen sen sijaan, että veisi sitä eteenpäin.