IKEv2 თუ L2TP/IPsec: რომელ პროფილს უშვებს თქვენი სერვერი?
ერთი იარლიყი ორ გროვას, სამი სახის საიდუმლოს და მისამართის შეცვლისას განსხვავებულ ქცევას მალავს. სანამ მენიუებს შეადარებთ, ფენები გამოყავით.
ორივე სახელი ერთსა და იმავე ჩამოსაშლელ სიაში გვერდიგვერდ ჩანს, რაც თანაბარ არჩევანს გვთავაზობს. ისინი თანაბარი არ არიან. L2TP გვირაბირების პროტოკოლია, რომელსაც საკუთარი კონფიდენციალურობა არ აქვს, და L2TP/IPsec სერვისში დაცვა მოდის მის გარშემო შემოხვეული IPsec ფენიდან. IKEv2 პირდაპირ აწარმოებს მოლაპარაკებას IPsec ასოციაციაზე და მასში გვირაბის შიგნით გვირაბის საფეხური არ არის. იმის ცოდნა, თუ რომელ გროვას გთავაზობთ სერვერი, განსაზღვრავს პროფილს, მინიშნებებს და იმას, რაც მოხდება ლეპტოპის ქსელის შეცვლისას.
ორი გროვა, ერთი იარლიყი კლიენტში
L2TP UDP-ზე 1701 პორტამდე ატარებს წერტილიდან წერტილამდე სესიას და დაშიფვრას იმას უტოვებს, ვინც მას ახვევს. დააწყვილეთ IPsec-თან და მიიღებთ ორ ფენას: ბილიკის დამცავ IPsec ასოციაციას და მის შიგნით მომხმარებლის კავშირის ფენის ჩარჩოებისა და PPP ავთენტიფიკაციის მატარებელ L2TP სესიას.
IKEv2 ქმნის კონტროლის ასოციაციას, შემდეგ ტრაფიკის დამცავ ერთ ან მეტ შვილეულ ასოციაციას, ყველა UDP 500 და 4500-ზე ერთსა და იმავე გაცვლის ოჯახში. შიგნით გვირაბირების პროტოკოლი არ არის და PPP მოლაპარაკებაც არ არის.
სერტიფიკატები: სამი საიდუმლო სამ ფენაზე
აქ იკარგება მხარდაჭერის დროის უმეტესობა. L2TP/IPsec პროფილმა შეიძლება მოითხოვოს წინასწარ გაზიარებული გასაღები IPsec ფენისთვის და მომხმარებლის სახელი პაროლით შიდა PPP სესიისთვის, და ორივეს სხვადასხვა კომპონენტი ამოწმებს. გაზიარებული გასაღები მთელ კარიბჭეს ეკუთვნის, ამიტომ ის არავის იდენტიფიცირებს; ის მხოლოდ ადასტურებს, რომ მეორე მხარემ იცის საიდუმლო.
IKEv2 ჩვეულებრივ იყენებს სერტიფიკატებს, ან EAP-ს მომხმარებლის სახელითა და პაროლით, და შეუძლია წინასწარ გაზიარებული გასაღების გამოყენებაც. ეს ვარიანტები L2TP-ის წყვილთან ურთიერთშემცვლელი არ არის. პაროლის აღდგენა, რომელიც უარყოფილ EAP შესვლას ასწორებს, ვერაფერს აკეთებს ვადაგასული კლიენტის სერტიფიკატისთვის, და რამდენჯერაც აკრიფოთ ანგარიშის პაროლი, არასწორ კარიბჭის გასაღებს ვერ დააკმაყოფილებს. როცა მოულოდნელი მინიშნება გამოჩნდება, სანამ გამოიცნობთ, ჰკითხეთ ოპერატორს, რომელ ფენას ეკუთვნის ის.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
რას ცვლის MOBIKE და რას არა
IKEv2-ს შეუძლია ასოციაციის გადატანა ახალ მისამართზე, როცა ორივე ბოლო MOBIKE-ს უჭერს მხარს, რაც ფარავს ლეპტოპის Wi-Fi-დან ტელეფონის ჰოტსპოტზე გადასვლის შემთხვევას უსაფრთხოების ასოციაციის დანგრევის გარეშე.
ის ამ გადაადგილებისას ყველა აპლიკაციას ცოცხლად არ ინარჩუნებს. ტრანსპორტის ნაკადი მაინც იცვლის მისამართს, ძველ მისამართზე მიბმული სოკეტები მაინც იშლება, და ინტერფეისზე ტრაფიკის მიმაგრებულ პოლიტიკას მაინც შეუძლია მისი ჩამოგდება. გამოსცადეთ ის გადასვლა, რომელსაც რეალურად აკეთებთ, იქნება ეს ქსელის დატოვება, ძილიდან გამოღვიძება თუ ხანგრძლივი უმოქმედობის შემდეგ დაბრუნება, და შეხედეთ აპლიკაციას, არა Connected იარლიყს.
მარცხის ის ფორმები, რომლებიც მათ ყოფს
კარიბჭემდე მისული და გაჩერებული L2TP/IPsec პროფილი ჩვეულებრივ ორი მინიშნებიდან ერთზე ფარსდება: გაზიარებულ გასაღებზე ან PPP სერტიფიკატებზე. არასწორი გასაღები ჩვეულებრივ კლიენტის ჟურნალში სასარგებლოს არაფერს აჩვენებს, მაშინ როცა არასწორი პაროლი ცხად ავთენტიფიკაციის უარყოფას ქმნის, და ეს განსხვავება გეუბნებათ, სად უნდა ვეძებოთ.
როცა იდენტობა ან სერტიფიკატი არასწორია, IKEv2 პროფილი უფრო ადრე და უფრო ხმამაღლა ფარსდება, რადგან კონტროლის ასოციაცია არასოდეს სრულდება. თუ ასოციაცია დასრულდა და ტრაფიკი მაინც ფარსდება, პრობლემა გადავიდა შვილეულ ასოციაციაზე, ტრაფიკის სელექტორზე ან ბილიკზე, და სერტიფიკატის შეცვლა ვერ დაეხმარება.
სად რომელი ჯერ კიდევ ჯდება
L2TP/IPsec რჩება იმიტომ, რომ ის თითქმის ყველა კლიენტზეა და დამატებით პროგრამულ უზრუნველყოფას არ ითხოვს, რაც მნიშვნელოვანია თქვენთვის უმართავ მოწყობილობაზე მომუშავე კონტრაქტორისთვის. ფასია დამატებითი ფენა, გაზიარებული საიდუმლოს მოდელი და ყოველი მისამართის ცვლილების შემდეგ ხელახალი დაკავშირება.
მართვადი მოწყობილობებისთვის IKEv2 უკეთ ჯდება: სერტიფიკატის იდენტობა, უფრო სუფთა მობილობა და ერთი ასოციაციების ოჯახი დასაფიქრებლად. ის ასევე უფრო მკაცრად ფარსდება, როცა კლიენტი ძველია, ამიტომ სანამ მის გარშემო დიზაინს გააკეთებთ, შეამოწმეთ პლატფორმის მხარდაჭერილი ავთენტიფიკაციის მეთოდი.
თქვენთვის მოცემული პროფილის შემოწმება
ჯერ დაადასტურეთ რეჟიმი სერვერის მხრიდან, შემდეგ შეარჩიეთ მასთან შესაბამისი კლიენტის პროფილი. შეამოწმეთ იმ პროფილისთვის გაცემული ზუსტი ჰოსტის სახელითა და სერტიფიკატებით, და გადაამოწმეთ კერძო რესურსი, არა საჯარო საიტი.
თუ უკავშირდება და არაფერი იტვირთება, გვირაბი მუშაობს, ხოლო ბილიკი, DNS ან ტრაფიკის სელექტორი არა. იმ მომენტში პროტოკოლის შეცვლა დიაგნოზს არ აწინაურებს, არამედ თავიდან იწყებს.