IKEv2 versus L2TP/IPsec: profil mana yang dijalankan server Anda?
Satu label menyembunyikan dua tumpukan, tiga jenis rahasia, dan perilaku berbeda saat alamat berubah. Urai lapisannya sebelum membandingkan menunya.
Kedua nama muncul berdampingan di menu tarik-turun yang sama, yang mengundang pilihan di antara yang setara. Keduanya tidak setara. L2TP adalah protokol terowongan tanpa kerahasiaan sendiri, dan perlindungan dalam layanan L2TP/IPsec berasal dari lapisan IPsec yang membungkusnya. IKEv2 menegosiasikan asosiasi IPsec secara langsung dan tidak memiliki langkah terowongan di dalam terowongan. Mengetahui tumpukan mana yang ditawarkan server Anda menentukan profil, perintah, dan apa yang terjadi saat laptop berpindah jaringan.
Dua tumpukan, satu label di klien
L2TP membawa sesi titik-ke-titik melalui UDP ke port 1701 dan menyerahkan enkripsi kepada siapa pun yang membungkusnya. Padukan dengan IPsec dan Anda mendapat dua lapisan: asosiasi IPsec yang melindungi jalur, dan di dalamnya sesi L2TP yang membawa bingkai lapisan tautan pengguna serta autentikasi PPP.
IKEv2 membuat asosiasi kendali lalu satu atau beberapa asosiasi anak yang melindungi lalu lintas, semuanya dalam satu keluarga pertukaran pada UDP 500 dan 4500. Tidak ada protokol terowongan dalam maupun negosiasi PPP.
Kredensial: tiga rahasia di tiga lapisan
Di sinilah sebagian besar waktu dukungan habis. Profil L2TP/IPsec dapat meminta kunci yang telah dibagi sebelumnya untuk lapisan IPsec dan nama pengguna dengan kata sandi untuk sesi PPP di dalamnya, dan keduanya diperiksa oleh komponen berbeda. Kunci bersama milik gateway secara keseluruhan, jadi tidak mengidentifikasi siapa pun; kunci itu hanya membuktikan bahwa pihak lain mengetahui sebuah rahasia.
IKEv2 umumnya memakai sertifikat, atau EAP dengan nama pengguna dan kata sandi, dan juga dapat memakai kunci yang telah dibagi sebelumnya. Pilihan itu tidak dapat dipertukarkan dengan pasangan L2TP. Setel ulang kata sandi yang memperbaiki login EAP yang ditolak tidak melakukan apa pun untuk sertifikat klien yang kedaluwarsa, dan seberapa pun sering Anda mengetik ulang kata sandi akun, kunci gateway yang salah tidak akan terpenuhi. Saat muncul perintah yang tidak Anda duga, tanyakan kepada operator lapisan mana perintah itu sebelum menebak.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Apa yang diubah MOBIKE dan apa yang tidak
IKEv2 dapat memindahkan asosiasi ke alamat baru saat kedua ujung mendukung MOBIKE, yang mencakup kasus laptop meninggalkan wifi menuju hotspot ponsel tanpa membongkar asosiasi keamanan.
Itu tidak menjaga setiap aplikasi tetap hidup selama perpindahan. Aliran transportasi tetap berganti alamat, soket yang terikat pada alamat lama tetap putus, dan kebijakan yang memaku lalu lintas ke antarmuka tetap dapat menjatuhkannya. Uji transisi yang benar-benar Anda lakukan, entah itu meninggalkan jaringan, bangun dari tidur, atau kembali setelah lama menganggur, dan perhatikan aplikasinya, bukan label Terhubung.
Bentuk kegagalan yang memisahkan keduanya
Profil L2TP/IPsec yang mencapai gateway lalu berhenti cenderung gagal pada salah satu dari dua perintah: kunci bersama atau kredensial PPP. Kunci yang salah biasanya tidak menunjukkan apa pun yang berguna di log klien, sedangkan kata sandi yang salah menghasilkan penolakan autentikasi yang eksplisit, dan perbedaan itu memberi tahu Anda di mana harus mencari.
Profil IKEv2 gagal lebih awal dan lebih nyaring saat identitas atau sertifikatnya salah, karena asosiasi kendali tidak pernah selesai. Jika asosiasi selesai dan lalu lintas tetap gagal, masalahnya telah berpindah ke asosiasi anak, pemilih lalu lintas, atau rute, dan tidak ada perubahan kredensial yang akan membantu.
Di mana masing-masing masih cocok
L2TP/IPsec bertahan karena tersedia di hampir setiap klien dan tidak memerlukan perangkat lunak tambahan, yang penting bagi kontraktor pada perangkat yang tidak Anda kelola. Harganya adalah lapisan tambahan, model rahasia bersama, dan koneksi ulang setelah setiap perubahan alamat.
IKEv2 lebih cocok untuk perangkat terkelola: identitas sertifikat, mobilitas lebih bersih, dan satu keluarga asosiasi untuk dipikirkan. Ia juga gagal lebih keras saat kliennya lama, jadi periksa metode autentikasi yang didukung platform sebelum merancang di sekitarnya.
Menguji profil yang Anda terima
Pastikan dulu modenya dari sisi server, lalu pilih profil klien yang cocok. Uji dengan nama host dan kredensial persis yang diterbitkan untuk profil itu, dan verifikasi sumber daya privat, bukan situs publik.
Jika terhubung dan tidak ada yang termuat, terowongannya bekerja dan rute, DNS, atau pemilih lalu lintasnya tidak. Mengganti protokol pada titik itu memulai ulang diagnosis alih-alih memajukannya.