IKEv2 наспроти L2TP/IPsec: кој профил работи на вашиот сервер?
Една ознака крие два слоја, три вида тајна и различно однесување кога се менува адресата. Размрсете ги слоевите пред да ги споредите менијата.
Двете имиња стојат едно до друго во истото паѓачко мени, што наведува на избор меѓу еднакви. Тие не се еднакви. L2TP е протокол за тунелирање без сопствена доверливост, а заштитата во услуга L2TP/IPsec доаѓа од слојот IPsec што го обвива. IKEv2 директно преговара IPsec асоцијација и нема чекор тунел во тунел. Да знаете кој слој го нуди вашиот сервер одредува профилот, барањата и тоа што се случува кога преносниот сметач ја менува мрежата.
Два слоја, една ознака во клиентот
L2TP пренесува сесија од точка до точка преку UDP на порта 1701 и го остава шифрирањето на тој што го обвива. Поврзете го со IPsec и добивате два слоја: IPsec асоцијација што го штити патот и внатре во неа L2TP сесија што ги пренесува рамките на слојот за врска на корисникот и PPP автентикацијата.
IKEv2 создава управувачка асоцијација, а потоа една или повеќе подредени асоцијации што го штитат сообраќајот, сѐ во едно семејство размени на UDP 500 и 4500. Нема внатрешен протокол за тунелирање и нема PPP преговарање.
Акредитиви: три тајни на три слоја
Тука исчезнува најголемиот дел од времето за поддршка. Профилот L2TP/IPsec може да побара однапред споделен клуч за слојот IPsec и корисничко име со лозинка за внатрешната PPP сесија, а двете ги проверуваат различни компоненти. Споделениот клуч ѝ припаѓа на портата како целина, па не идентификува никого; тој само докажува дека другата страна знае тајна.
IKEv2 обично користи сертификати или EAP со корисничко име и лозинка, а може да користи и однапред споделен клуч. Тие опции не се заменливи со парот L2TP. Ресетирање на лозинка што поправа одбиена EAP најава не прави ништо за истечен сертификат на клиентот, и колку и да ја препишувате лозинката на сметката, погрешен клуч на портата нема да задоволите. Кога ќе се појави барање што не сте го очекувале, прашајте го операторот на кој слој му припаѓа пред да погодувате.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Што менува MOBIKE, а што не
IKEv2 може да премести асоцијација на нова адреса кога двата краја поддржуваат MOBIKE, што го покрива случајот кога преносниот сметач ја напушта wifi мрежата и преминува на пристапна точка на телефон без распаѓање на безбедносната асоцијација.
Тоа не ја одржува жива секоја апликација при тоа преместување. Транспортниот тек сепак ја менува адресата, сокетите врзани за старата сепак се кршат, а политика што го приковува сообраќајот на интерфејс сепак може да го отфрли. Тестирајте го преминот што навистина го правите, било да напуштате мрежа, се будите од мирување или се враќате по долг период на неактивност, и гледајте ја апликацијата, а не ознаката Поврзано.
Облици на отказ што ги раздвојуваат
Профил L2TP/IPsec што стигнува до портата и потоа запира обично паѓа на едно од две барања: споделениот клуч или PPP акредитивите. Погрешен клуч обично не покажува ништо корисно во записот на клиентот, додека погрешна лозинка дава изрично одбивање на автентикацијата, и таа разлика ви кажува каде да барате.
Профил IKEv2 паѓа порано и погласно кога идентитетот или сертификатот се погрешни, бидејќи управувачката асоцијација никогаш не се довршува. Ако асоцијацијата се доврши, а сообраќајот сѐ уште не поминува, проблемот се преселил во подредената асоцијација, во селекторите на сообраќај или во рутата, и никаква промена на акредитивите нема да помогне.
Каде сѐ уште одговараат
L2TP/IPsec опстојува затоа што е присутен на речиси секој клиент и не бара дополнителна програмска опрема, што е важно за надворешен изведувач на уред што не го управувате. Цената е дополнителниот слој, моделот со споделена тајна и повторно поврзување по секоја промена на адресата.
IKEv2 подобро одговара на управувани уреди: идентитет преку сертификат, почиста мобилност и едно семејство асоцијации за кое треба да се размислува. Исто така паѓа поцврсто кога клиентот е стар, затоа проверете го поддржаниот метод на автентикација на платформата пред да проектирате околу него.
Тестирање на профилот што сте го добиле
Најпрво потврдете го режимот од страната на серверот, потоа изберете го клиентскиот профил што одговара. Тестирајте со точното име на домаќин и акредитивите издадени за тој профил и проверете го приватниот ресурс, а не јавно мрежно место.
Ако се поврзе и ништо не се вчитува, тунелот работи, а рутата, DNS или селекторот на сообраќај не. Менувањето на протоколот во тој момент ја рестартира дијагнозата наместо да ја придвижи напред.