IKEv2 немесе L2TP/IPsec: серверіңіз қай профильді іске қосады?
Бір белгі екі стекті, үш түрлі құпияны және мекенжай өзгергендегі басқа мінез-құлықты жасырады. Мәзірлерді салыстырмас бұрын қабаттарды ажыратыңыз.
Екі атау бір ашылмалы тізімде қатар тұрады, бұл тең екі нұсқаның бірін таңдауға шақырады. Олар тең емес. L2TP өзіндік құпиялылығы жоқ туннельдеу протоколы, ал L2TP/IPsec қызметіндегі қорғаныс оны орап тұрған IPsec қабатынан келеді. IKEv2 IPsec қауымдастығымен тікелей келіссөз жүргізеді және онда туннель ішінде туннель сатысы жоқ. Серверіңіз қай стекті ұсынатынын білу профильді, сұрауларды және ноутбук желісін ауыстырғанда не болатынын анықтайды.
Екі стек, клиентте бір белгі
L2TP UDP арқылы 1701 портына дейін нүкте-нүкте сессиясын тасымалдайды және шифрлауды оны орайтын жаққа қалдырады. Оны IPsec-пен жұптастырсаңыз, екі қабат аласыз: жолды қорғайтын IPsec қауымдастығы және оның ішінде пайдаланушының байланыс қабатының кадрлары мен PPP аутентификациясын тасымалдайтын L2TP сессиясы.
IKEv2 басқару қауымдастығын, содан кейін трафикті қорғайтын бір немесе бірнеше еншілес қауымдастықты жасайды, барлығы UDP 500 және 4500 порттарында бір алмасу тобында. Ішінде туннельдеу протоколы жоқ және PPP келіссөзі де жоқ.
Тіркелгі деректері: үш қабаттағы үш құпия
Дәл осы жерде қолдау уақытының көбі кетеді. L2TP/IPsec профилі IPsec қабаты үшін алдын ала бөлінген кілтті және ішкі PPP сессиясы үшін пайдаланушы аты мен құпиясөзді сұрауы мүмкін, екеуін де түрлі компоненттер тексереді. Ортақ кілт бүкіл шлюзге тиесілі, сондықтан ол ешкімді танытпайды; ол қарсы жақ құпияны білетінін ғана дәлелдейді.
IKEv2 әдетте сертификаттарды немесе пайдаланушы аты мен құпиясөзі бар EAP-ты пайдаланады, сондай-ақ алдын ала бөлінген кілтті де қолдана алады. Бұл нұсқалар L2TP жұбымен өзара алмаспайды. Қабылданбаған EAP кіруін түзететін құпиясөзді қалпына келтіру мерзімі өткен клиент сертификатына ештеңе істемейді, ал тіркелгі құпиясөзін қанша рет терсеңіз де қате шлюз кілтін қанағаттандырмайды. Күтпеген сұрау шықса, болжам жасамас бұрын оның қай қабатқа жататынын оператордан сұраңыз.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE нені өзгертеді, нені өзгертпейді
Екі ұшы да MOBIKE-ті қолдаса, IKEv2 қауымдастықты жаңа мекенжайға көшіре алады, бұл ноутбуктің Wi-Fi-дан телефон хотспотына ауысу жағдайын қауіпсіздік қауымдастығын бұзбай қамтиды.
Ол сол көшу барысында әр қолданбаны тірі ұстамайды. Тасымал ағыны әлі де мекенжайды өзгертеді, ескі мекенжайға байланған сокеттер әлі де үзіледі, ал интерфейске трафикті бекітетін саясат оны әлі де тастай алады. Өзіңіз нақты жасайтын ауысуды, яғни желіден шығуды, ұйқыдан оянуды немесе ұзақ әрекетсіздіктен кейін қайтуды сынап көріңіз және Connected белгісінің орнына қолданбаға қараңыз.
Оларды ажырататын сәтсіздік пішіндері
Шлюзге жетіп, тоқтап қалатын L2TP/IPsec профилі әдетте екі сұраудың бірінде сәтсіз болады: ортақ кілт немесе PPP тіркелгі деректері. Қате кілт әдетте клиент журналында пайдалы ештеңе көрсетпейді, ал қате құпиясөз нақты аутентификациядан бас тартуды тудырады, осы айырмашылық қайдан қарау керектігін айтады.
Сәйкестік немесе сертификат қате болса, IKEv2 профилі ертерек және қаттырақ сәтсіз болады, өйткені басқару қауымдастығы ешқашан аяқталмайды. Қауымдастық аяқталып, трафик бәрібір сәтсіз болса, мәселе еншілес қауымдастыққа, трафик селекторына немесе маршрутқа ауысқан, ешқандай тіркелгі деректерін өзгерту көмектеспейді.
Қайсысы қайда әлі жарасады
L2TP/IPsec сақталып отыр, өйткені ол барлық дерлік клиентте бар және қосымша бағдарламалық жасақтама қажет етпейді, бұл өзіңіз басқармайтын құрылғыда жұмыс істейтін мердігер үшін маңызды. Бағасы қосымша қабат, ортақ құпия моделі және әр мекенжай өзгерісінен кейін қайта қосылу.
Басқарылатын құрылғыларға IKEv2 жақсырақ жарасады: сертификат сәйкестігі, таза ұтқырлық және ойлануға бір қауымдастықтар отбасы. Клиент ескі болса, ол қаттырақ сәтсіз болады, сондықтан оның айналасында жобаламас бұрын платформаның қолдайтын аутентификация әдісін тексеріңіз.
Сізге берілген профильді тексеру
Алдымен режимді сервер жағынан растаңыз, содан кейін оған сәйкес клиент профилін таңдаңыз. Сол профиль үшін берілген нақты хост атымен және тіркелгі деректерімен тексеріңіз, ал жалпыға қолжетімді сайттың орнына жеке ресурсты растаңыз.
Егер қосылады, бірақ ештеңе жүктелмесе, туннель жұмыс істеп тұр, ал маршрут, DNS немесе трафик селекторы жұмыс істемейді. Сол сәтте протоколды ауыстыру диагностиканы ілгерілетпейді, қайта бастайды.