IKEv2 géint L2TP/IPsec: wéi ee Profil leeft op Ärem Server?
Een Etikett verstoppt zwee Stapelen, dräi Aarte vu Geheimnis an en anert Verhalen, wann d'Adress sech ännert. Entwir d'Schichten, ier Dir d'Menüen vergläicht.
Déi zwee Nimm stinn niefteneen am selwechten Dropdown, wat eng Wiel tëschent Gläichen undeit. Si sinn net gläich. L2TP ass en Tunnelprotokoll ouni eegen Vertraulichkeet, an de Schutz an engem L2TP/IPsec-Déngscht kënnt vun der IPsec-Schicht, déi en ëmhüllt. IKEv2 verhandelt direkt eng IPsec-Associatioun an huet kee Schrëtt Tunnel-an-Tunnel. Ze wëssen, wéi ee Stapel Äre Server ubitt, entscheet iwwer de Profil, d'Ufroen an dat, wat geschitt, wann de Laptop den Netzwierk wiesselt.
Zwee Stapelen, een Etikett am Client
L2TP dréit eng Punkt-zu-Punkt-Sessioun iwwer UDP op Port 1701 an iwwerléisst d'Verschlüsselung deem, deen en ëmhüllt. Kombinéiert en mat IPsec an Dir kritt zwou Schichten: eng IPsec-Associatioun, déi de Wee schützt, an dobannen eng L2TP-Sessioun, déi dem Benotzer seng Link-Layer-Frames an d'PPP-Authentifikatioun transportéiert.
IKEv2 erstellt eng Kontrollassociatioun an duerno eng oder méi Kannerassociatiounen, déi den Traffic schützen, alles an enger Austauschfamill op UDP 500 an 4500. Et gëtt keen inneren Tunnelprotokoll a keng PPP-Verhandlung.
Umeldungsdaten: dräi Geheimnisser op dräi Schichten
Hei verschwënnt de gréissten Deel vun der Supportzäit. En L2TP/IPsec-Profil kann e viru gedeelte Schlëssel fir d'IPsec-Schicht froen an e Benotzernumm mat Passwuert fir d'PPP-Sessioun dobannen, an déi zwee ginn vu verschiddenen Komponente gepréift. De gedeelte Schlëssel gehéiert zum Gateway als Ganzt, also identifizéiert en keen; en beweist just, datt d'Géigesäit e Geheimnis kennt.
IKEv2 benotzt meeschtens Zertifikater oder EAP mat Benotzernumm a Passwuert, an et kann och e viru gedeelte Schlëssel benotzen. Déi Optiounen sinn net mat dem L2TP-Puer austauschbar. En Passwuert-Reset, deen eng ofgelehnten EAP-Umeldung behieft, mécht näischt fir en ofgelafene Clientzertifikat, a wéi dacks Dir och d'Kontopasswuert nei antippt, e falsche Gatewayschlëssel gëtt doduerch net erfëllt. Wann eng Ufro erschéngt, déi Dir net erwaart hutt, freet den Betreiber, zu wéi enger Schicht si gehéiert, ier Dir rodet.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Wat MOBIKE ännert, an wat net
IKEv2 kann eng Associatioun op eng nei Adress verréckelen, wann déi zwou Endpunkten MOBIKE ënnerstëtzen, wat de Fall deckt, datt e Laptop vu WLAN op en Handy-Hotspot wiesselt, ouni d'Sécherheetsassociatioun ofzebauen.
Et hält net all Applikatioun iwwer dee Wiessel lieweg. Den Transportfloss ännert nach ëmmer d'Adress, Sockets, déi un déi al gebonne sinn, briechen nach ëmmer, an eng Politk, déi Traffic un eng Interface bënnt, kann en nach ëmmer fale loossen. Test den Iwwergang, deen Dir tatsächlech maacht, ob dat en Netzwierk verloossen, aus dem Schlof erwächen oder zréckkommen no enger laanger Loschtzäit ass, a kuckt op d'Applikatioun amplaz op d'Etikett Verbonnen.
Feelerformen, déi si trennen
En L2TP/IPsec-Profil, deen de Gateway erreecht an dann stoppt, feelt meeschtens op enger vun zwou Ufroen: de gedeelte Schlëssel oder d'PPP-Umeldungsdaten. E falsche Schlëssel weist am Clientlog meeschtens näischt Nëtzleches, wärend e falscht Passwuert eng explizit Authentifikatiouns-Ablehnung produzéiert, an den Ënnerscheed seet Iech, wou Dir kucke musst.
En IKEv2-Profil feelt méi fréi a méi haart, wann d'Identitéit oder den Zertifikat falsch ass, well d'Kontrollassociatioun ni fäerdeg gëtt. Gëtt d'Associatioun fäerdeg an den Traffic feelt nach ëmmer, ass de Problem an d'Kannerassociatioun, d'Traffic-Selecteuren oder d'Route geplënnert, an eng Ännerung vun den Umeldungsdaten hëlleft net.
Wou jiddwereen nach passt
L2TP/IPsec hält sech, well en op bal all Client präsent ass an keng zousätzlech Software brauch, wat fir e Contraktor op engem Apparat zielt, deen Dir net verwaltt. De Präis ass déi zousätzlech Schicht, de Modell mam gedeelte Geheimnis an eng Neiverbindung no all Adressännnerung.
IKEv2 passt besser zu verwalteten Apparater: Zertifikatsidentitéit, méi propper Mobilitéit an eng eenzeg Associatiounsfamill, iwwer déi een nodenke kann. Et feelt och méi haart, wann de Client al ass, also préift déi ënnerstëtzte Authentifikatiounsmethod vun der Plattform, ier Dir ronderëm si plangt.
De Profil testen, deen Dir kritt hutt
Bestätegt fir d'éischt de Modus op der Serversäit a wielt dann de Clientprofil, deen dozou passt. Test mam genauen Hostnumm an den Umeldungsdaten, déi fir dee Profil ausgestallt goufen, a verifizéiert déi privat Ressource amplaz enger ëffentlecher Säit.
Wann et sech verbënnt a näischt lued, funktionéiert den Tunnel an net d'Route, den DNS oder de Traffic-Selector. Zu deem Zäitpunkt de Protokoll ze wiesselen, fänkt d'Diagnos nei un, amplaz se virun ze bréngen.