IKEv2 nasuprot L2TP/IPsec: koji profil radi na vašem poslužitelju?
Jedna oznaka skriva dva složaja, tri vrste tajne i drugačije ponašanje kad se adresa promijeni. Razmrsite slojeve prije nego što usporedite izbornike.
Dva se naziva pojavljuju jedan uz drugi u istom padajućem izborniku, što navodi na odabir među jednakima. Nisu jednaki. L2TP je protokol tuneliranja bez vlastite povjerljivosti, a zaštita u usluzi L2TP/IPsec dolazi od sloja IPsec koji ga obavija. IKEv2 izravno pregovara IPsec asocijaciju i nema korak tunela unutar tunela. Znati koji složaj vaš poslužitelj nudi određuje profil, upite i ono što se dogodi kad prijenosnik promijeni mrežu.
Dva složaja, jedna oznaka u klijentu
L2TP prenosi sesiju od točke do točke preko UDP-a na port 1701 i prepušta šifriranje onome koji ga obavija. Spojite ga s IPsec i dobivate dva sloja: IPsec asocijaciju koja štiti put i unutar nje L2TP sesiju koja prenosi okvire sloja veze korisnika i PPP autentifikaciju.
IKEv2 stvara upravljačku asocijaciju i zatim jednu ili više podređenih asocijacija koje štite promet, sve u jednoj obitelji razmjena na UDP 500 i 4500. Nema unutarnjeg protokola tuneliranja ni PPP pregovaranja.
Vjerodajnice: tri tajne na tri sloja
Tu nestaje većina vremena za podršku. Profil L2TP/IPsec može zatražiti unaprijed dijeljeni ključ za sloj IPsec i korisničko ime s lozinkom za unutarnju PPP sesiju, a oboje provjeravaju različite komponente. Dijeljeni ključ pripada pristupniku kao cjelini, pa nikoga ne identificira; samo dokazuje da druga strana poznaje tajnu.
IKEv2 obično koristi certifikate ili EAP s korisničkim imenom i lozinkom, a može koristiti i unaprijed dijeljeni ključ. Te mogućnosti nisu zamjenjive s parom L2TP. Ponovno postavljanje lozinke koje popravlja odbijenu EAP prijavu ne čini ništa za istekao certifikat klijenta, i koliko god puta iznova upisivali lozinku računa, pogrešan ključ pristupnika time nećete zadovoljiti. Kad se pojavi upit koji niste očekivali, pitajte operatera kojem sloju pripada prije nego što počnete nagađati.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Što MOBIKE mijenja, a što ne
IKEv2 može premjestiti asocijaciju na novu adresu kad oba kraja podržavaju MOBIKE, što pokriva slučaj kad prijenosnik napusti wifi i prijeđe na pristupnu točku telefona bez razgradnje sigurnosne asocijacije.
Pritom ne održava živom svaku aplikaciju. Transportni tok ipak mijenja adresu, utičnice vezane uz staru ipak se lome, a pravilo koje prikvačuje promet na sučelje ipak ga može odbaciti. Testirajte prijelaz koji doista izvodite, bilo da napuštate mrežu, budite se iz mirovanja ili se vraćate nakon dugog razdoblja neaktivnosti, i promatrajte aplikaciju, a ne oznaku Povezano.
Oblici kvara koji ih razdvajaju
Profil L2TP/IPsec koji stigne do pristupnika i zatim se zaustavi obično pada na jednom od dvaju upita: dijeljenom ključu ili PPP vjerodajnicama. Pogrešan ključ obično u zapisniku klijenta ne pokazuje ništa korisno, dok pogrešna lozinka daje izričito odbijanje autentifikacije, a ta razlika govori vam gdje tražiti.
Profil IKEv2 pada ranije i glasnije kad su identitet ili certifikat pogrešni, jer se upravljačka asocijacija nikad ne dovršava. Ako se asocijacija dovrši, a promet i dalje ne prolazi, problem se preselio u podređenu asocijaciju, u selektore prometa ili u rutu, i nikakva promjena vjerodajnica neće pomoći.
Gdje se svaki još uklapa
L2TP/IPsec se održava jer je prisutan na gotovo svakom klijentu i ne treba dodatnu programsku opremu, što je važno za vanjskog izvođača na uređaju kojim ne upravljate. Cijena je dodatni sloj, model dijeljene tajne i ponovno povezivanje nakon svake promjene adrese.
IKEv2 bolje pristaje upravljanim uređajima: identitet putem certifikata, čišća mobilnost i jedna obitelj asocijacija o kojoj treba razmišljati. Također pada tvrđe kad je klijent star, zato provjerite podržanu metodu autentifikacije platforme prije nego što projektirate oko nje.
Testiranje profila koji ste dobili
Najprije potvrdite način na strani poslužitelja, zatim odaberite klijentski profil koji mu odgovara. Testirajte s točnim imenom hosta i vjerodajnicama izdanima za taj profil i provjerite privatni resurs, a ne javno web-mjesto.
Ako se poveže i ništa se ne učitava, tunel radi, a ruta, DNS ili selektor prometa ne. Promjena protokola u tom trenutku ponovno pokreće dijagnozu umjesto da je pomakne naprijed.