IKEv2 же L2TP/IPsec: сервериңиз кайсы профилди иштетет?
Бир белги эки стекти, үч түрдүү сырды жана дарек өзгөргөндө башка жүрүм-турумду жашырат. Менюларды салыштыруудан мурун катмарларды бөлүңүз.
Эки ат бир эле тизмеде катар турат, бул барабар эки варианттын бирин тандоого чакырат. Алар барабар эмес. L2TP өзүнүн купуялуулугу жок туннелдөө протоколу, ал эми L2TP/IPsec кызматындагы коргоо аны ороп турган IPsec катмарынан келет. IKEv2 IPsec бирикмеси менен түз сүйлөшүү жүргүзөт жана анда туннелдин ичинде туннел баскычы жок. Сервериңиз кайсы стекти сунуштаарын билүү профилди, суроолорду жана ноутбуктун тармагы алмашканда эмне болорун аныктайт.
Эки стек, кардарда бир белги
L2TP UDP аркылуу 1701 портуна чейин чекит-чекит сессиясын алып барат жана шифрлоону аны орогон тарапка калтырат. Аны IPsec менен жупташтырсаңыз, эки катмар аласыз: жолду коргогон IPsec бирикмеси жана анын ичинде колдонуучунун байланыш катмарынын кадрлары менен PPP аутентификациясын алып жүрүүчү L2TP сессиясы.
IKEv2 башкаруу бирикмесин, андан кийин трафикти коргогон бир же бир нече туунду бирикмени түзөт, баары UDP 500 жана 4500 портторунда бир алмашуу үй-бүлөсүндө. Ичинде туннелдөө протоколу жок жана PPP сүйлөшүүсү да жок.
Креденциалдар: үч катмардагы үч сыр
Ушул жерде колдоо убактысынын көбү кетет. L2TP/IPsec профили IPsec катмары үчүн алдын ала бөлүшүлгөн ачкычты жана ички PPP сессиясы үчүн колдонуучу аты менен сырсөздү сурашы мүмкүн, экөөнү тең ар башка компоненттер текшерет. Жалпы ачкыч бүтүндөй шлюзга таандык, ошондуктан ал эч кимди таанытпайт; ал каршы тарап сырды билерин гана далилдейт.
IKEv2 адатта сертификаттарды же колдонуучу аты менен сырсөзү бар EAPты колдонот, алдын ала бөлүшүлгөн ачкычты да колдонсо болот. Бул варианттар L2TP жубу менен алмашылбайт. Четке кагылган EAP кирүүсүн оңдогон сырсөздү кайра коюу мөөнөтү өткөн кардар сертификатына эч нерсе кылбайт, эсептин сырсөзүн канча жолу терсеңиз да туура эмес шлюз ачкычы канааттанбайт. Күтүлбөгөн суроо чыкса, божомолдоп мурда ал кайсы катмарга тиешелүү экенин оператордон сураңыз.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE эмнени өзгөртөт, эмнени өзгөртпөйт
Эки учунда тең MOBIKE колдоого алынса, IKEv2 бирикмени жаңы дарекке жылдыра алат, бул ноутбук Wi-Fi'ден телефон хотспотуна өткөн учурду коопсуздук бирикмесин бузбастан камтыйт.
Ал ошол жылышуу учурунда ар бир колдонмону тирүү кармабайт. Транспорт агымы баары бир даректи өзгөртөт, эски дарекке байланган сокеттер баары бир үзүлөт, интерфейске трафикти бекиткен саясат аны баары бир түшүрүп салышы мүмкүн. Өзүңүз чындап жасаган өтүүнү, башкача айтканда тармактан чыгууну, уйкудан ойгонууну же узак аракетсиздиктен кийин кайтууну сынап көрүңүз жана Connected белгисинин ордуна колдонмого караңыз.
Аларды айырмалаган ийгиликсиздик формалары
Шлюзге жетип токтоп калган L2TP/IPsec профили адатта эки суроонун биринде ийгиликсиз болот: жалпы ачкыч же PPP креденциалдары. Туура эмес ачкыч адатта кардар журналында пайдалуу эч нерсе көрсөтпөйт, ал эми туура эмес сырсөз так аутентификациядан баш тартууну жаратат, ошол айырма кайдан кароо керектигин айтат.
Инсандык же сертификат туура эмес болсо, IKEv2 профили эртерек жана катуураак ийгиликсиз болот, анткени башкаруу бирикмеси эч качан бүтпөйт. Бирикме бүтүп, трафик баары бир ийгиликсиз болсо, маселе туунду бирикмеге, трафик селекторуна же маршрутка өткөн, эч кандай креденциалды өзгөртүү жардам бербейт.
Кайсысы кайда азыр да жарашат
L2TP/IPsec сакталып турат, анткени ал дээрлик ар бир кардарда бар жана кошумча программалык камсыздоо талап кылбайт, бул өзүңүз башкарбаган түзмөктө иштеген мердигер үчүн маанилүү. Баасы кошумча катмар, жалпы сыр модели жана ар бир дарек өзгөрүшүнөн кийин кайра туташуу.
Башкарылуучу түзмөктөргө IKEv2 жакшыраак жарашат: сертификат инсандыгы, таза мобилдүүлүк жана ойлонууга бир бирикмелер үй-бүлөсү. Кардар эски болсо, ал катуураак ийгиликсиз болот, ошондуктан анын айланасында долбоорлоодон мурун платформанын колдогон аутентификация ыкмасын текшериңиз.
Сизге берилген профилди текшерүү
Алгач режимди сервер тараптан ырастаңыз, анан ага туура келген кардар профилин тандаңыз. Ошол профиль үчүн берилген так хост аты жана креденциалдар менен текшерип, коомдук сайттын ордуна жеке ресурсту ырастаңыз.
Эгер туташат, бирок эч нерсе жүктөлбөсө, туннел иштеп жатат, ал эми маршрут, DNS же трафик селектору иштебей жатат. Ошол учурда протоколду алмаштыруу диагностиканы илгерилетпейт, кайра баштайт.