IKEv2 contre L2TP/IPsec : quel profil votre serveur utilise-t-il ?
Une seule étiquette cache deux piles, trois sortes de secret et un comportement différent quand l’adresse change. Démêlez les couches avant de comparer les menus.
Les deux noms apparaissent côte à côte dans le même menu déroulant, ce qui laisse croire à un choix entre équivalents. Ils ne sont pas équivalents. L2TP est un protocole de tunnellisation sans confidentialité propre, et la protection d’un service L2TP/IPsec vient de la couche IPsec qui l’enveloppe. IKEv2 négocie directement une association IPsec et n’a pas d’étape de tunnel dans le tunnel. Savoir quelle pile votre serveur propose détermine le profil, les invites et ce qui se passe lorsque l’ordinateur portable change de réseau.
Deux piles, une seule étiquette dans le client
L2TP transporte une session point à point sur UDP vers le port 1701 et laisse le chiffrement à qui l’enveloppe. Associez-le à IPsec et vous obtenez deux couches : une association IPsec qui protège le chemin, et une session L2TP à l’intérieur qui transporte les trames de couche liaison de l’utilisateur et l’authentification PPP.
IKEv2 crée une association de contrôle, puis une ou plusieurs associations enfants qui protègent le trafic, le tout dans une même famille d’échanges sur UDP 500 et 4500. Il n’y a ni protocole de tunnellisation interne ni négociation PPP.
Identifiants : trois secrets répartis sur trois couches
C’est là que la plupart du temps de support disparaît. Un profil L2TP/IPsec peut demander une clé prépartagée pour la couche IPsec et un nom d’utilisateur avec mot de passe pour la session PPP interne, et les deux sont vérifiés par des composants différents. La clé partagée appartient à la passerelle dans son ensemble : elle n’identifie personne ; elle prouve seulement que le pair connaît un secret.
IKEv2 utilise couramment des certificats, ou EAP avec un nom d’utilisateur et un mot de passe, et il peut aussi employer une clé prépartagée. Ces options ne sont pas interchangeables avec le couple L2TP. Une réinitialisation de mot de passe qui corrige une connexion EAP rejetée ne fait rien pour un certificat client expiré, et vous aurez beau retaper le mot de passe du compte, cela ne satisfera jamais une clé de passerelle erronée. Quand une invite apparaît que vous n’attendiez pas, demandez à l’exploitant à quelle couche elle appartient avant de deviner.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Ce que MOBIKE change, et ce qu’il ne change pas
IKEv2 peut déplacer une association vers une nouvelle adresse lorsque les deux extrémités prennent en charge MOBIKE, ce qui couvre le cas d’un ordinateur portable quittant le Wi-Fi pour un partage de connexion mobile sans démonter l’association de sécurité.
Il ne maintient pas chaque application en vie pendant ce déplacement. Le flux de transport change toujours d’adresse, les sockets liées à l’ancienne cassent toujours, et une politique qui épingle le trafic sur une interface peut toujours le faire tomber. Testez la transition que vous effectuez réellement, qu’il s’agisse de quitter un réseau, de sortir de veille ou de revenir après une longue période d’inactivité, et observez l’application plutôt que l’étiquette « connecté ».
Des formes de panne qui les distinguent
Un profil L2TP/IPsec qui atteint la passerelle puis s’arrête échoue généralement sur l’une de deux invites : la clé partagée ou les identifiants PPP. Une clé erronée n’affiche en général rien d’utile dans le journal du client, tandis qu’un mot de passe erroné produit un rejet d’authentification explicite, et cette différence vous dit où chercher.
Un profil IKEv2 échoue plus tôt et plus bruyamment quand l’identité ou le certificat est erroné, parce que l’association de contrôle ne se termine jamais. Si l’association se termine et que le trafic échoue encore, le problème est passé à l’association enfant, aux sélecteurs de trafic ou à la route, et aucun changement d’identifiant n’y aidera.
Où chacun reste utile
L2TP/IPsec persiste parce qu’il est présent sur presque tous les clients et n’exige aucun logiciel supplémentaire, ce qui compte pour un prestataire sur un appareil que vous ne gérez pas. Le prix à payer : la couche supplémentaire, le modèle du secret partagé et une reconnexion après chaque changement d’adresse.
IKEv2 convient mieux aux appareils administrés : identité par certificat, mobilité plus propre et une seule famille d’associations à raisonner. Il échoue aussi plus durement quand le client est ancien, alors vérifiez la méthode d’authentification prise en charge par la plateforme avant de concevoir autour d’elle.
Tester le profil qu’on vous a donné
Confirmez d’abord le mode côté serveur, puis choisissez le profil client qui y correspond. Testez avec le nom d’hôte et les identifiants exacts délivrés pour ce profil, et vérifiez la ressource privée plutôt qu’un site public.
S’il se connecte et que rien ne se charge, le tunnel fonctionne et ce sont la route, le DNS ou le sélecteur de trafic qui ne fonctionnent pas. Changer de protocole à ce stade redémarre le diagnostic au lieu de le faire avancer.