IKEv2 vagy L2TP/IPsec: melyik profilt futtatja a szerver?
Egyetlen címke két vermet, háromféle titkot és más viselkedést rejt, amikor a cím megváltozik. Bontsa rétegekre, mielőtt összeveti a menüket.
A két név egymás mellett áll ugyanabban a legördülő menüben, ami az egyenrangúak közötti választásra csábít. Nem egyenrangúak. L2TP saját bizalmasság nélküli alagútprotokoll, az L2TP/IPsec szolgáltatás védelmét pedig a köré csavart IPsec réteg adja. Az IKEv2 közvetlenül tárgyal egy IPsec-társítást, és nincs alagút az alagútban lépése. Ha tudja, melyik vermet kínálja a szervere, az meghatározza a profilt, a kéréseket és azt, mi történik, amikor a laptop hálózatot vált.
Két verem, egy címke az ügyfélben
Az L2TP pont-pont szakaszt visz UDP-n az 1701-es portra, és a titkosítást arra hagyja, aki becsomagolja. Párosítsa IPsec-kel, és két réteget kap: az utat védő IPsec-társítást, és azon belül egy L2TP-szakaszt, amely a felhasználó kapcsolati rétegű kereteit és a PPP-hitelesítést szállítja.
Az IKEv2 létrehoz egy vezérlő társítást, majd egy vagy több gyermektársítást, amelyek a forgalmat védik, mindezt egyetlen cserecsaládban UDP 500 és 4500 felett. Nincs belső alagútprotokoll és nincs PPP-tárgyalás.
Hitelesítő adatok: három titok három rétegen
Itt tűnik el a támogatási idő nagy része. Az L2TP/IPsec profil kérhet egy előre megosztott kulcsot az IPsec réteghez, és felhasználónevet jelszóval a belső PPP-szakaszhoz, és a kettőt különböző összetevők ellenőrzik. A megosztott kulcs az átjáró egészéhez tartozik, tehát senkit nem azonosít; csak azt bizonyítja, hogy a másik fél ismer egy titkot.
Az IKEv2 általában tanúsítványokat használ, vagy EAP-t felhasználónévvel és jelszóval, és előre megosztott kulcsot is alkalmazhat. Ezek a lehetőségek nem cserélhetők fel az L2TP-párral. Egy jelszó-visszaállítás, amely rendbe tesz egy elutasított EAP-bejelentkezést, semmit sem tesz egy lejárt ügyféltanúsítványért, és hiába írja be újra a fiók jelszavát, egy rossz átjárókulcsot nem fog kielégíteni. Amikor olyan kérés jelenik meg, amelyre nem számított, kérdezze meg az üzemeltetőtől, melyik réteghez tartozik, mielőtt találgatna.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Mit változtat a MOBIKE, és mit nem
Az IKEv2 új címre viheti a társítást, ha mindkét végpont támogatja a MOBIKE-ot, ami lefedi azt az esetet, amikor a laptop elhagyja a wifit egy telefon hotspotja felé, anélkül hogy lebontaná a biztonsági társítást.
Ez nem tartja életben az összes alkalmazást az átköltözés alatt. A szállítási folyam továbbra is címet vált, a régihez kötött socketek továbbra is elszakadnak, és egy házirend, amely egy interfészhez rögzíti a forgalmat, továbbra is eldobhatja. Tesztelje azt az átmenetet, amelyet valóban végrehajt, legyen az hálózat elhagyása, ébredés alvásból vagy visszatérés hosszú tétlenség után, és az alkalmazást figyelje, ne a Csatlakoztatva címkét.
Hibaminták, amelyek elválasztják őket
Az az L2TP/IPsec profil, amely eléri az átjárót, majd megáll, általában két kérés egyikén bukik el: a megosztott kulcson vagy a PPP-hitelesítő adatokon. A rossz kulcs általában semmi hasznosat nem mutat az ügyfélnaplóban, míg a rossz jelszó kifejezett hitelesítési elutasítást ad, és ez a különbség megmondja, hol keresse a hibát.
Az IKEv2 profil korábban és hangosabban bukik el, ha az azonosító vagy a tanúsítvány rossz, mert a vezérlő társítás soha nem jön létre. Ha a társítás létrejön, és a forgalom mégsem megy át, a probléma átkerült a gyermektársításba, a forgalomválasztókba vagy az útvonalba, és a hitelesítő adatok változtatása nem segít.
Hol fér még meg mindegyik
Az L2TP/IPsec azért marad meg, mert szinte minden ügyfélen ott van, és nem igényel külön szoftvert, ami számít egy külső szakembernek egy olyan eszközön, amelyet nem Ön kezel. Az ára a plusz réteg, a megosztott titok modellje és az újracsatlakozás minden címváltozás után.
Az IKEv2 jobban illik a kezelt eszközökhöz: tanúsítványalapú azonosítás, tisztább mobilitás és egyetlen társításcsalád, amelyen gondolkodni kell. Azonban keményebben is bukik el, ha az ügyfél öreg, ezért nézze meg a platform által támogatott hitelesítési módot, mielőtt köré tervez.
A kapott profil tesztelése
Először igazolja a módot a szerveroldalon, aztán válassza ki a hozzá illő ügyfélprofilt. A profilhoz kiadott pontos gépnévvel és hitelesítő adatokkal teszteljen, és a privát erőforrást ellenőrizze, ne egy nyilvános webhelyet.
Ha csatlakozik, és semmi nem töltődik be, az alagút működik, az útvonal, a DNS vagy a forgalomválasztó nem. A protokoll átváltása ezen a ponton újraindítja a diagnózist, ahelyett hogy előrevinné.