IKEv2 contro L2TP/IPsec: quale profilo esegue il tuo server?
Una sola etichetta nasconde due pile, tre tipi di segreto e un comportamento diverso quando l’indirizzo cambia. Metti in ordine gli strati prima di confrontare i menu.
I due nomi compaiono fianco a fianco nello stesso menu a discesa, il che invita a scegliere tra uguali. Non sono uguali. L2TP è un protocollo di tunnelling senza riservatezza propria, e la protezione di un servizio L2TP/IPsec viene dallo strato IPsec che lo avvolge. IKEv2 negozia direttamente un’associazione IPsec e non ha alcun passaggio di tunnel dentro il tunnel. Sapere quale pila offre il tuo server decide il profilo, le richieste e che cosa succede quando il portatile cambia rete.
Due pile, una sola etichetta nel client
L2TP trasporta una sessione punto a punto su UDP verso la porta 1701 e lascia la cifratura a chi lo avvolge. Abbinalo a IPsec e ottieni due strati: un’associazione IPsec che protegge il percorso e, all’interno, una sessione L2TP che porta i frame di livello di collegamento dell’utente e l’autenticazione PPP.
IKEv2 crea un’associazione di controllo e poi una o più associazioni figlie che proteggono il traffico, tutto in un’unica famiglia di scambi su UDP 500 e 4500. Non c’è alcun protocollo di tunnel interno né negoziazione PPP.
Credenziali: tre segreti distribuiti su tre strati
È qui che sparisce la maggior parte del tempo di assistenza. Un profilo L2TP/IPsec può chiedere una chiave precondivisa per lo strato IPsec e un nome utente con password per la sessione PPP interna, e le due cose vengono verificate da componenti diversi. La chiave condivisa appartiene al gateway nel suo insieme, quindi non identifica nessuno; dimostra solo che la controparte conosce un segreto.
IKEv2 usa di solito certificati, oppure EAP con nome utente e password, e può usare anche una chiave precondivisa. Quelle opzioni non sono intercambiabili con la coppia L2TP. Un ripristino della password che risolve un accesso EAP rifiutato non fa nulla per un certificato client scaduto, e per quante volte riscrivi la password dell’account non soddisfarai mai una chiave di gateway sbagliata. Quando compare una richiesta che non ti aspettavi, chiedi al gestore a quale strato appartiene prima di tirare a indovinare.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Che cosa cambia MOBIKE e che cosa no
IKEv2 può spostare un’associazione su un nuovo indirizzo quando entrambi gli estremi supportano MOBIKE, il che copre il caso di un portatile che lascia il wifi per l’hotspot di un telefono senza smontare l’associazione di sicurezza.
Non mantiene vive tutte le applicazioni durante quello spostamento. Il flusso di trasporto cambia comunque indirizzo, i socket legati al vecchio si rompono comunque, e una politica che fissa il traffico a un’interfaccia può comunque scartarlo. Prova la transizione che esegui davvero, che sia uscire da una rete, svegliarsi dalla sospensione o tornare dopo un lungo periodo di inattività, e guarda l’applicazione invece dell’etichetta Connesso.
Forme di guasto che li distinguono
Un profilo L2TP/IPsec che raggiunge il gateway e poi si ferma tende a fallire su una di due richieste: la chiave condivisa o le credenziali PPP. Una chiave sbagliata di solito non mostra nulla di utile nel registro del client, mentre una password sbagliata produce un rifiuto esplicito dell’autenticazione, e quella differenza ti dice dove guardare.
Un profilo IKEv2 fallisce prima e più rumorosamente quando l’identità o il certificato sono sbagliati, perché l’associazione di controllo non si completa mai. Se l’associazione si completa e il traffico continua a fallire, il problema si è spostato sull’associazione figlia, sui selettori di traffico o sulla rotta, e nessun cambio di credenziali aiuterà.
Dove ciascuno trova ancora posto
L2TP/IPsec resiste perché è presente su quasi ogni client e non richiede software aggiuntivo, cosa che conta per un tecnico esterno su un dispositivo che non gestisci. Il prezzo è lo strato in più, il modello del segreto condiviso e una riconnessione dopo ogni cambio di indirizzo.
IKEv2 si adatta meglio ai dispositivi gestiti: identità tramite certificato, mobilità più pulita e un’unica famiglia di associazioni su cui ragionare. Fallisce anche più duramente quando il client è vecchio, quindi controlla il metodo di autenticazione supportato dalla piattaforma prima di progettare intorno a essa.
Provare il profilo che ti hanno dato
Conferma prima la modalità dal lato server, poi scegli il profilo client che vi corrisponde. Prova con il nome host e le credenziali esatti emessi per quel profilo, e verifica la risorsa privata invece di un sito pubblico.
Se si connette e non carica nulla, il tunnel funziona e non funzionano la rotta, il DNS o il selettore di traffico. Cambiare protocollo a quel punto riavvia la diagnosi invece di farla avanzare.