IKEv2 թե L2TP/IPsec՝ ձեր սերվերը ո՞ր պրոֆիլն է աշխատեցնում։
Մեկ պիտակ թաքցնում է երկու շերտակույտ, երեք տեսակի գաղտնիք և տարբեր վարք՝ հասցեն փոխվելիս։ Մինչ մենյուները համեմատելը՝ առանձնացրեք շերտերը։
Երկու անունները կողք կողքի հայտնվում են նույն բացվող ցանկում, ինչը հրավիրում է ընտրել հավասարների միջև։ Նրանք հավասար չեն։ L2TP թունելավորման արձանագրություն է, որն ինքնուրույն գաղտնիություն չունի, և L2TP/IPsec ծառայության պաշտպանությունը գալիս է նրա շուրջը փաթաթված IPsec շերտից։ IKEv2-ը ուղղակիորեն բանակցում է IPsec միավորում և չունի թունելի մեջ թունել քայլ։ Իմանալը, թե ձեր սերվերը որ շերտակույտն է առաջարկում, որոշում է պրոֆիլը, հուշումները և այն, ինչ տեղի կունենա, երբ նոթբուքը փոխի ցանցը։
Երկու շերտակույտ, մեկ պիտակ հաճախորդում
L2TP-ն UDP-ով մինչև 1701 պորտ կրում է կետ-կետ սեսիա և գաղտնագրումը թողնում է նրան, ով փաթաթում է այն։ Զուգակցեք IPsec-ի հետ և կստանաք երկու շերտ՝ ուղին պաշտպանող IPsec միավորում և դրա ներսում օգտվողի կապող-շերտի կադրերն ու PPP նույնականացումը կրող L2TP սեսիա։
IKEv2-ը ստեղծում է կառավարման միավորում, ապա՝ երթևեկությունը պաշտպանող մեկ կամ ավելի զավակ միավորումներ, բոլորը UDP 500 և 4500-ի վրա՝ նույն փոխանակման ընտանիքում։ Ներսում թունելավորման արձանագրություն չկա և PPP բանակցություն էլ չկա։
Ուղեկցորդներ՝ երեք գաղտնիք երեք շերտերի վրա
Այստեղ է կորչում աջակցության ժամանակի մեծ մասը։ L2TP/IPsec պրոֆիլը կարող է պահանջել նախապես տրամադրված բանալի IPsec շերտի համար և օգտանուն ու գաղտնաբառ ներսի PPP սեսիայի համար, և երկուսը ստուգում են տարբեր բաղադրիչներ։ Համօգտագործվող բանալին պատկանում է ամբողջ դարպասին, ուստի այն ոչ մեկին չի նույնականացնում, այլ միայն ապացուցում է, որ հակառակ կողմը գիտի գաղտնիք։
IKEv2-ը սովորաբար օգտագործում է վկայագրեր կամ EAP՝ օգտանունով ու գաղտնաբառով, և կարող է օգտագործել նաև նախապես տրամադրված բանալի։ Այդ տարբերակները փոխանակելի չեն L2TP-ի զույգի հետ։ Գաղտնաբառի վերականգնումը, որը շտկում է մերժված EAP մուտքը, ոչինչ չի անում ժամկետանց հաճախորդի վկայագրի համար, և հաշվի գաղտնաբառը քանի անգամ էլ մուտքագրեք, սխալ դարպասի բանալին չի բավարարվի։ Երբ անսպասելի հուշում է հայտնվում, նախքան գուշակելը հարցրեք օպերատորին, թե որ շերտին է այն պատկանում։
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Ինչ է փոխում MOBIKE-ը և ինչ՝ ոչ
IKEv2-ը կարող է միավորումը տեղափոխել նոր հասցե, երբ երկու ծայրերն էլ աջակցում են MOBIKE-ին, ինչը ծածկում է նոթբուքի՝ Wi-Fi-ից հեռախոսի հոթսփոթ անցնելու դեպքը՝ առանց անվտանգության միավորումը քանդելու։
Այն այդ տեղափոխության ընթացքում կենդանի չի պահում բոլոր հավելվածներին։ Փոխադրման հոսքը դեռ փոխում է հասցեն, հին հասցեին կապված սոքեթները դեռ կտրվում են, և ինտերֆեյսին երթևեկություն ամրագրող քաղաքականությունը դեռ կարող է գցել այն։ Փորձարկեք այն անցումը, որն իրականում կատարում եք՝ ցանցից դուրս գալը, քնից արթնանալը կամ երկար անգործությունից հետո վերադարձը, և նայեք հավելվածին, ոչ թե Connected պիտակին։
Ձախողման ձևերը, որոնք տարբերում են նրանց
Դարպասին հասնելով կանգ առնող L2TP/IPsec պրոֆիլը սովորաբար ձախողվում է երկու հուշումներից մեկի վրա՝ համօգտագործվող բանալին կամ PPP ուղեկցորդները։ Սխալ բանալին սովորաբար հաճախորդի մատյանում ոչ մի օգտակար բան չի ցույց տալիս, մինչդեռ սխալ գաղտնաբառը ստեղծում է հստակ նույնականացման մերժում, և այդ տարբերությունը հուշում է, թե որտեղ նայել։
Երբ ինքնությունը կամ վկայագիրը սխալ է, IKEv2 պրոֆիլը ձախողվում է ավելի վաղ և ավելի բարձր, քանի որ կառավարման միավորումը երբեք չի ավարտվում։ Եթե միավորումը ավարտվում է, բայց երթևեկությունը դեռ ձախողվում է, խնդիրը տեղափոխվել է զավակ միավորում, երթևեկության ընտրիչ կամ ուղի, և ոչ մի ուղեկցորդի փոփոխություն չի օգնի։
Որտեղ ինչը դեռ տեղավորվում է
L2TP/IPsec-ը պահպանվում է, որովհետև այն առկա է գրեթե բոլոր հաճախորդներում և լրացուցիչ ծրագրային ապահովում չի պահանջում, ինչը կարևոր է ձեր չկառավարվող սարքում աշխատող կապալառուի համար։ Գինը լրացուցիչ շերտն է, համօգտագործվող գաղտնիքի մոդելը և յուրաքանչյուր հասցեի փոփոխությունից հետո վերամիացումը։
Կառավարվող սարքերին IKEv2-ը ավելի լավ է տեղավորվում՝ վկայագրային ինքնություն, ավելի մաքուր շարժունակություն և մեկ միավորումների ընտանիք՝ մտածելու համար։ Այն նաև ավելի կոշտ է ձախողվում, երբ հաճախորդը հին է, ուստի նախքան դրա շուրջ նախագծելը ստուգեք հարթակի աջակցվող նույնականացման եղանակը։
Ձեզ տրված պրոֆիլի փորձարկումը
Նախ հաստատեք ռեժիմը սերվերի կողմից, ապա ընտրեք դրան համապատասխան հաճախորդի պրոֆիլ։ Փորձարկեք այդ պրոֆիլի համար տրված ճշգրիտ հոսթանունով և ուղեկցորդներով, և ստուգեք մասնավոր ռեսուրսը, ոչ թե հանրային կայք։
Եթե այն միանում է, բայց ոչինչ չի բեռնվում, թունելը աշխատում է, իսկ ուղին, DNS-ը կամ երթևեկության ընտրիչը՝ ոչ։ Այդ պահին արձանագրությունը փոխելը ախտորոշումը ոչ թե առաջ է տանում, այլ նորից սկսում։