IKEv2 of L2TP/IPsec: hokker profyl draait jo server?
Ien label ferberget twa steapels, trije soarten geheim en oar gedrach by in adreswiziging. Untwarje de lagen foardat jo de menu's fergelykje.
De beide nammen steane njonken elkoar yn itselde karlist, wat in kar tusken gelikense suggerearret. Se binne net gelikens. L2TP is in tunnelprotokol sûnder eigen fertroulikheid, en de beskerming yn in L2TP/IPsec-tsjinst komt fan de IPsec-laach deromhinne. IKEv2 ûnderhannelet streekrjocht in IPsec-assosjaasje en hat gjin stap tunnel-yn-tunnel. Witte hokker steapel jo server biedt, bestimt it profyl, de prompts en wat der bart as de laptop fan netwurk feroaret.
Twa steapels, ien label yn de klant
L2TP draacht in point-to-pointsesje oer UDP nei poarte 1701 en lit fersiferring oer oan wa't it omhult. Kombinearje it mei IPsec en jo krije twa lagen: in IPsec-assosjaasje dy't it paad beskermet, en dêryn in L2TP-sesje dy't de link-layerframes fan de brûker en de PPP-autentikaasje ferfiert.
IKEv2 makket in bestjoeringsassosjaasje en dêrnei ien of mear berne-assosjaasjes dy't ferkear beskermje, alles yn ien útwikselfamylje op UDP 500 en 4500. Der is gjin ynderlik tunnelprotokol en gjin PPP-ûnderhanneling.
Oanmeldgegevens: trije geheimen op trije lagen
Hjir ferdwynt it measte supporttiid. In L2TP/IPsec-profyl kin om in foarôf dielde kaai foar de IPsec-laach freegje en om in brûkersnamme mei wachtwurd foar de PPP-sesje binnenyn, en beide wurde troch ferskate komponinten kontrolearre. De dielde kaai heart by de gateway as gehiel, dat identifisearret nimmen; hy bewiist allinnich dat de tsjinoer in geheim ken.
IKEv2 brûkt meast sertifikaten, of EAP mei in brûkersnamme en wachtwurd, en it kin ek in foarôf dielde kaai brûke. Dy opsjes binne net útwikselber mei it L2TP-pear. In wachtwurdreset dy't in wegere EAP-oanmelding ferhelpt, docht neat foar in ferfallen kliïntsertifikaat, en hoe faak jo it accountwachtwurd ek opnij yntikje, in ferkearde gatewaykaai wurdt der net mei befredige. As der in prompt ferskynt dy't jo net ferwachten, freegje de behearder dan by hokker laach dy heart foardat jo begjinne te rieden.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Wat MOBIKE feroaret, en wat net
IKEv2 kin in assosjaasje nei in nij adres ferpleatse as beide einpunten MOBIKE stypje, wat it gefal dekt fan in laptop dy't fan wifi nei in hotspot fan in tillefoan giet sûnder de befeiligingsassosjaasje ôf te brekken.
It hâldt net elke tapassing yn libben by dy ferpleatsing. De transportstream feroaret noch altyd fan adres, sockets dy't oan it âlde adres bûn binne brekke noch altyd, en in belied dat ferkear oan in interface fêstset kin it noch altyd falle litte. Test de oergong dy't jo wier meitsje, itsij in netwurk ferlitten, út sliep wekker wurden of weromkommen nei in lange perioade fan ynaktiviteit, en sjoch nei de tapassing yn stee fan nei it label Ferbûn.
Faalfoarmen dy't se skiede
In L2TP/IPsec-profyl dat de gateway berikt en dan stopt, falt meast op ien fan twa prompts: de dielde kaai of de PPP-oanmeldgegevens. In ferkearde kaai lit yn in klantlog meast neat nuttich sjen, wylst in ferkeard wachtwurd in eksplisite autentikaasje-ôfwizing jout, en dat ferskil seit jo wêr't jo sykje moatte.
In IKEv2-profyl falt earder en lûder as de identiteit of it sertifikaat ferkeard is, om't de bestjoeringsassosjaasje nea ta stân komt. Komt de assosjaasje wol ta stân en falt ferkear noch altyd, dan is it probleem nei de berne-assosjaasje, de ferkearsselekteors of de rûte ferhuze, en gjin inkelde wiziging fan oanmeldgegevens helpt.
Wêr't elk noch past
L2TP/IPsec hâldt stân om't it op hast elke klant oanwêzich is en gjin ekstra software nedich hat, wat telt foar in contractor op in apparaat dat jo net beheare. De priis is de ekstra laach, it model mei dield geheim en in werferbining nei elke adreswiziging.
IKEv2 past better by beheardere apparaten: sertifikaatidentiteit, skjinner mobiliteit en ien assosjaasjefamylje om oer nei te tinken. It falt ek hurder as de klant âld is, dus kontrolearje de stipe autentikaasjemetoade fan it platfoarm foardat jo dêromhinne ûntwerpe.
It profyl teste dat jo krigen hawwe
Befêstigje earst de modus oan de serverkant en kies dan it klantprofyl dat dêrby past. Test mei de krekte hostnamme en oanmeldgegevens dy't foar dat profyl útjûn binne, en kontrolearje de priveeboarne yn stee fan in iepenbiere side.
As it ferbynt en neat ladelet, wurket de tunnel en net de rûte, de DNS of de ferkearsselekteor. Op dat punt it protokol feroarje start de diagnoaze opnij yn stee fan har foarút te bringen.