IKEv2와 L2TP/IPsec: 서버는 어느 쪽 프로필을 쓰나
레이블 하나가 두 개의 스택, 세 가지 비밀, 주소가 바뀔 때의 다른 동작을 감추고 있다. 메뉴를 비교하기 전에 층부터 정리하자.
두 이름은 같은 드롭다운에 나란히 있어 대등한 것 중 하나를 고르는 것처럼 보인다. 하지만 대등하지 않다.L2TP 는 자체 기밀성을 갖지 않는 터널링 프로토콜이고, L2TP/IPsec 서비스의 보호는 그것을 감싸는 IPsec 계층에서 나온다. IKEv2는 IPsec 연관을 직접 협상하며 터널 속 터널 단계가 없다. 서버가 어느 스택을 제공하는지 아는 것이 프로필, 프롬프트, 그리고 노트북이 네트워크를 바꿀 때 무슨 일이 생기는지를 결정한다.
두 스택, 클라이언트에는 레이블 하나
L2TP는 지점 간 세션을 UDP로 1701번 포트까지 나르고 암호화는 그것을 감싸는 쪽에 맡긴다. IPsec과 짝지으면 경로를 보호하는 IPsec 연관과, 그 안에서 사용자의 링크 계층 프레임과 PPP 인증을 나르는 L2TP 세션이라는 두 계층이 된다.
IKEv2는 제어 연관을 만들고 이어서 트래픽을 보호하는 자식 연관을 하나 이상 만들지만, 모두 UDP 500과 4500 위의 같은 교환 계열에 속한다. 내부 터널링 프로토콜도 PPP 협상도 없다.
자격 증명: 세 계층에 흩어진 세 가지 비밀
지원 시간의 대부분이 여기서 사라진다. L2TP/IPsec 프로필은 IPsec 계층용 사전 공유 키와 내부 PPP 세션용 사용자 이름과 비밀번호를 함께 요구할 수 있고, 둘은 서로 다른 구성 요소가 검사한다. 공유 키는 게이트웨이 전체에 속하므로 누구도 식별하지 않고, 상대가 비밀을 안다는 것만 증명한다.
IKEv2는 보통 인증서를 쓰거나 사용자 이름과 비밀번호를 쓰는 EAP를 쓰며, 사전 공유 키도 쓸 수 있다. 그 선택지는 L2TP 짝과 호환되지 않는다. 거부된 EAP 로그인을 고치는 비밀번호 재설정은 만료된 클라이언트 인증서에는 아무 효과가 없고, 계정 비밀번호를 몇 번을 다시 입력해도 잘못된 게이트웨이 키는 채울 수 없다. 예상하지 못한 프롬프트가 뜨면 추측하기 전에 운영자에게 어느 계층인지 물어보자.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE가 바꾸는 것과 바꾸지 않는 것
양 끝이 MOBIKE를 지원하면 IKEv2는 연관을 새 주소로 옮길 수 있으며, 이는 노트북이 와이파이를 떠나 휴대폰 핫스폿으로 옮기면서도 보안 연관을 해체하지 않는 경우를 포함한다.
그 이동 동안 모든 애플리케이션이 살아남는 것은 아니다. 전송 흐름은 여전히 주소가 바뀌고, 옛 주소에 묶인 소켓은 여전히 끊기며, 트래픽을 인터페이스에 고정하는 정책은 여전히 그것을 떨어뜨릴 수 있다. 실제로 하는 전환, 즉 네트워크를 떠나거나 잠에서 깨거나 오래 유휴한 뒤 돌아오는 경우를 시험하고, 연결됨 레이블이 아니라 애플리케이션을 보자.
둘을 가르는 장애의 모양
게이트웨이에 닿은 뒤 멈추는 L2TP/IPsec 프로필은 보통 공유 키나 PPP 자격 증명이라는 두 프롬프트 중 하나에서 실패한다. 키가 틀리면 클라이언트 로그에 쓸모 있는 것이 거의 없고, 비밀번호가 틀리면 명시적인 인증 거부가 나오므로, 그 차이가 어디를 봐야 하는지 알려준다.
IKEv2 프로필은 신원이나 인증서가 틀리면 제어 연관이 끝내 완성되지 않기 때문에 더 이르고 더 크게 실패한다. 연관이 완성됐는데도 트래픽이 안 되면 문제는 자식 연관, 트래픽 선택자, 라우트로 옮겨 간 것이고 자격 증명을 바꿔도 도움이 되지 않는다.
각각이 여전히 맞는 자리
L2TP/IPsec이 남아 있는 이유는 거의 모든 클라이언트에 있고 추가 소프트웨어가 필요 없기 때문이며, 관리하지 않는 기기에서 일하는 외부 인력에게는 중요하다. 대가는 여분의 계층, 공유 비밀 모델, 주소가 바뀔 때마다의 재연결이다.
IKEv2는 관리되는 기기에 더 맞는다: 인증서 신원, 더 깔끔한 이동성, 생각할 연관 계열이 하나뿐이다. 클라이언트가 오래되면 더 세게 실패하므로, 그것을 전제로 설계하기 전에 플랫폼이 지원하는 인증 방식을 확인하자.
받은 프로필 시험하기
먼저 서버 쪽에서 모드를 확인하고, 그에 맞는 클라이언트 프로필을 고른다. 그 프로필용으로 발급된 정확한 호스트 이름과 자격 증명으로 시험하고, 공개 사이트가 아니라 내부 자원을 검증한다.
연결은 되는데 아무것도 로드되지 않는다면 터널은 동작하고 라우트, DNS, 트래픽 선택자가 동작하지 않는 것이다. 그 시점에 프로토콜을 바꾸는 것은 진단을 앞으로 미는 대신 처음부터 다시 시작하는 일이다.