IKEv2 á móti L2TP/IPsec: hvaða snið keyrir þjónninn þinn?

Nöfnin tvö birtast hlið við hlið í sama fellilistanum, sem hvetur til vals milli jafningja. Þau eru ekki jafningjar. L2TP er göngusamskiptaregla án eigin trúnaðar, og verndin í L2TP/IPsec-þjónustu kemur frá IPsec-laginu sem vefur hana. IKEv2 semur beint um IPsec-tengingu og hefur ekkert skref með göngum inni í göngum. Að vita hvaða stafla þjónninn þinn býður ræður sniðinu, skilaboðunum og því hvað gerist þegar fartölvan skiptir um net.

Tveir staflar, eitt merki í biðlaranum

L2TP ber punkt-í-punkt setu yfir UDP á gátt 1701 og lætur dulkóðunina eftir þeim sem vefur hana. Paraðu hana við IPsec og þú færð tvö lög: IPsec-tengingu sem verndar leiðina, og inni í henni L2TP-setu sem ber tengilagsramma notandans og PPP-auðkenninguna.

IKEv2 býr til stjórntengingu og síðan eina eða fleiri undirtengingar sem vernda umferðina, allt í einni samskiptafjölskyldu á UDP 500 og 4500. Það er engin innri göngusamskiptaregla og engin PPP-samningaviðræða.

Auðkenni: þrjú leyndarmál á þremur lögum

Hér hverfur mestur hluti stuðningstímans. L2TP/IPsec-snið getur beðið um fyrirfram deildan lykil fyrir IPsec-lagið og notandanafn með lykilorði fyrir PPP-setuna inni, og þau tvö eru athuguð af mismunandi hlutum. Deildi lykillinn tilheyrir gáttinni í heild, svo hann auðkennir engan; hann sannar bara að mótaðilinn þekkir leyndarmál.

IKEv2 notar oft skírteini, eða EAP með notandanafni og lykilorði, og getur líka notað fyrirfram deildan lykil. Þeir valkostir eru ekki skiptanlegir við L2TP-parið. Endurstilling lykilorðs sem lagar höfnuð EAP-innskráningu gerir ekkert fyrir útrunnið biðlaraskírteini, og sama hversu oft þú slærð inn lykilorð reikningsins aftur, fullnægir það ekki röngum gáttarlykli. Þegar skilaboð birtast sem þú bjóst ekki við, spurðu rekstraraðilann að því hvaða lag þau tilheyra áður en þú giskar.

Hvað MOBIKE breytir og hvað ekki

IKEv2 getur flutt tengingu á nýtt vistfang þegar báðir endar styðja MOBIKE, sem nær yfir tilfellið þegar fartölva fer af wifi yfir á hringitölu og rífur ekki öryggistenginguna.

Það heldur ekki hverju forriti á lífi í gegnum þá flutninga. Flutningsflæðið skiptir samt um vistfang, sambönd sem eru bundin við það gamla brotna samt, og stefna sem festir umferð við tengi getur samt misst hana. Prófaðu umskiptin sem þú gerir í raun, hvort sem það er að fara af neti, vakna úr svefni eða koma til baka eftir langt aðgerðaleysi, og fylgstu með forritinu frekar en merkinu Tenging.

Bilunarform sem greina þau að

L2TP/IPsec-snið sem nær gáttinni og stoppar síðan mistekst venjulega á einum af tveimur skilaboðum: deilda lyklinum eða PPP-auðkenninu. Rangur lykill sýnir venjulega ekkert gagnlegt í biðlaraskrá, en rangt lykilorð gefur skýra höfnun auðkenningar, og munurinn segir þér hvar þú átt að leita.

IKEv2-snið mistekst fyrr og háværara þegar auðkennið eða skírteinið er rangt, því stjórntengingin klárast aldrei. Klárist tengingin og umferðin mistekst samt, hefur vandamálið færst yfir í undirtenginguna, umferðarvalana eða leiðina, og engin breyting á auðkennum hjálpar.

Hvar hvort um sig á enn við

L2TP/IPsec varir vegna þess að það er til á næstum hverjum biðlara og þarf engan aukabúnað, sem skiptir máli fyrir verktaka á tæki sem þú stýrir ekki. Kostnaðurinn er auka lagið, líkanið með deilda leyndarmálinu og endurtenging eftir hverja vistfangsbreytingu.

IKEv2 hentar stýrðum tækjum betur: skírteinisauðkenni, hreinlægari hreyfanleika og ein tengingafjölskylda til að hugsa um. Það mistekst líka harðar þegar biðlarinn er gamall, svo athugaðu studda auðkenningaraðferð kerfisins áður en þú hannar í kringum hana.

Prófa sniðið sem þú fékkst

Staðfestu fyrst haminn á þjónahliðinni og veldu síðan biðlarasniðið sem passar við hann. Prófaðu með nákvæma hýsilnafninu og auðkennunum sem voru gefin út fyrir það snið, og sannreyndu einkaaðilinn frekar en opinbera vefsvæðið.

Ef það tengist og ekkert hleðst virkar göngin en ekki leiðin, DNS-ið eða umferðarvalinn. Að skipta um samskiptareglu á þeim punkti byrjar greininguna upp á nýtt í stað þess að færa hana áfram.