IKEv2 ar L2TP/IPsec: kurį profilį naudoja jūsų serveris?
Viena etiketė slepia du stekus, trijų rūšių paslaptį ir kitokį elgesį, kai keičiasi adresas. Išnarplokite sluoksnius prieš lygindami meniu.
Abu pavadinimai stovi greta tame pačiame išskleidžiamajame meniu, o tai kviečia rinktis tarp lygių. Jie nėra lygūs. L2TP yra tuneliavimo protokolas, neturintis savo konfidencialumo, o L2TP/IPsec paslaugos apsauga ateina iš jį gaubiančio IPsec sluoksnio. IKEv2 tiesiogiai derasi dėl IPsec asociacijos ir neturi „tunelio tunelyje“ žingsnio. Žinojimas, kurį steką siūlo jūsų serveris, nulemia profilį, raginimus ir tai, kas nutiks, kai nešiojamasis kompiuteris pakeis tinklą.
Du stekai, viena etiketė kliente
L2TP perduoda taško-tašką sesiją per UDP į 1701 prievadą ir palieka šifravimą tam, kas ją apgaubia. Suderkite jį su IPsec ir gausite du sluoksnius: kelią saugančią IPsec asociaciją ir jos viduje L2TP sesiją, perduodančią vartotojo jungties lygmens kadrus ir PPP autentifikaciją.
IKEv2 sukuria valdymo asociaciją, o po to vieną ar daugiau antrinių asociacijų, kurios saugo srautą, visa tai vienoje apsikeitimo šeimoje UDP 500 ir 4500. Vidaus tuneliavimo protokolo ir PPP derybų nėra.
Prisijungimo duomenys: trys paslaptys trijuose sluoksniuose
Čia dingsta didžioji dalis palaikymo laiko. L2TP/IPsec profilis gali paprašyti iš anksto bendrinamo rakto IPsec sluoksniui ir vartotojo vardo su slaptažodžiu vidinei PPP sesijai, o abu tikrina skirtingi komponentai. Bendrinamas raktas priklauso visai tarpinei, todėl nieko neidentifikuoja; jis tik įrodo, kad kita pusė žino paslaptį.
IKEv2 paprastai naudoja sertifikatus arba EAP su vartotojo vardu ir slaptažodžiu, taip pat gali naudoti iš anksto bendrinamą raktą. Šios parinktys nėra keičiamos su L2TP pora. Slaptažodžio atkūrimas, kuris sutvarko atmestą EAP prisijungimą, nieko neduoda pasibaigusiam kliento sertifikatui, ir kad ir kiek kartų iš naujo įvesite paskyros slaptažodį, neteisingo tarpinės rakto taip nepatenkinsite. Kai pasirodo raginimas, kurio nesitikėjote, prieš spėliodami paklauskite operatoriaus, kuriam sluoksniui jis priklauso.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Ką MOBIKE pakeičia, o ko ne
IKEv2 gali perkelti asociaciją į naują adresą, kai abu galai palaiko MOBIKE, o tai apima atvejį, kai nešiojamasis kompiuteris palieka wifi ir pereina prie telefono prieigos taško, neskaidydamas saugos asociacijos.
Tai neišlaiko kiekvienos programos gyvos per tą perkėlimą. Transporto srautas vis tiek keičia adresą, prie senojo pririšti lizdai vis tiek lūžta, o politika, kuri prikala srautą prie sąsajos, vis tiek gali jį numesti. Išbandykite perėjimą, kurį iš tikrųjų atliekate, ar tai būtų tinklo palikimas, pabudimas iš miego ar grįžimas po ilgos neveikos, ir stebėkite programą, o ne etiketę Prisijungta.
Gedimų formos, kurios juos skiria
L2TP/IPsec profilis, kuris pasiekia tarpinę ir sustoja, paprastai nepavyksta viename iš dviejų raginimų: bendrinamame rakte arba PPP prisijungimo duomenyse. Neteisingas raktas kliento žurnale paprastai nerodo nieko naudingo, o neteisingas slaptažodis duoda aiškų autentifikacijos atmetimą, ir šis skirtumas pasako, kur ieškoti.
IKEv2 profilis nepavyksta anksčiau ir garsiau, kai tapatybė ar sertifikatas neteisingi, nes valdymo asociacija niekada nebaigiama. Jei asociacija baigiama, o srautas vis tiek neveikia, problema persikėlė į antrinę asociaciją, srauto selektorius ar maršrutą, ir joks prisijungimo duomenų pakeitimas nepadės.
Kur kiekvienas dar tinka
L2TP/IPsec išlieka todėl, kad jis yra beveik kiekviename kliente ir nereikalauja papildomos programinės įrangos, o tai svarbu rangovui įrenginyje, kurio nevaldote. Kaina yra papildomas sluoksnis, bendrinamos paslapties modelis ir prisijungimas iš naujo po kiekvieno adreso pakeitimo.
IKEv2 geriau tinka valdomiems įrenginiams: tapatybė pagal sertifikatą, švaresnis mobilumas ir viena asociacijų šeima, apie kurią reikia galvoti. Jis taip pat nepavyksta griežčiau, kai klientas senas, todėl prieš projektuodami aplink jį patikrinkite platformos palaikomą autentifikacijos metodą.
Gauto profilio testavimas
Pirmiausia patvirtinkite režimą serverio pusėje, tada pasirinkite jį atitinkantį kliento profilį. Testuokite su tiksliu to profilio hostno pavadinimu ir prisijungimo duomenimis, ir tikrinkite privatų išteklių, o ne viešą svetainę.
Jei prisijungia ir niekas nesikrauna, tunelis veikia, o maršrutas, DNS ar srauto selektorius ne. Protokolo keitimas tame taške iš naujo paleidžia diagnostiką, o ne pastumia ją į priekį.