IKEv2 эсвэл L2TP/IPsec: таны сервер аль профайлыг ажиллуулдаг вэ?
Нэг шошго хоёр стек, гурван төрлийн нууц болон хаяг өөрчлөгдөх үеийн өөр зан төлөвийг нуудаг. Цэснүүдийг харьцуулахын өмнө давхаргуудыг ялгаарай.
Хоёр нэр нэг унадаг жагсаалтад зэрэгцэн харагдах нь тэнцүү хоёр сонголтын дундаас сонгохыг урьдаг. Тэд тэнцүү биш. L2TP өөрийн нууцлалгүй туннелчлэлийн протокол бөгөөд L2TP/IPsec үйлчилгээний хамгаалалт түүнийг ороосон IPsec давхаргаас ирдэг. IKEv2 нь IPsec холбоог шууд хэлэлцдэг бөгөөд туннел дотор туннел гэсэн шат байхгүй. Таны сервер аль стекийг санал болгодогыг мэдэх нь профайл, сануулга болон зөөврийн компьютер сүлжээ солих үед юу болохыг тодорхойлно.
Хоёр стек, клиент дээр нэг шошго
L2TP нь UDP-ээр 1701 порт хүртэл цэгээс цэг рүү сессийг зөөж, шифрлэлтийг түүнийг ороосон талд үлдээдэг. IPsec-тэй хослуулбал хоёр давхарга гарна: замыг хамгаалах IPsec холбоо, дотооддоо хэрэглэгчийн холбоосын түвшний фрейм болон PPP баталгаажуулалтыг зөөх L2TP сесс.
IKEv2 нь удирдлагын холбоо, дараа нь урсгалыг хамгаалах нэг буюу хэд хэдэн хүүхэд холбоог үүсгэдэг бөгөөд бүгд UDP 500 болон 4500 дээр нэг солилцооны бүлэгт байна. Дотор нь туннелчлэлийн протокол байхгүй, PPP хэлэлцээр ч байхгүй.
Итгэмжлэл: гурван давхарга дээр гурван нууц
Энд л дэмжлэгийн ихэнх цаг алга болдог. L2TP/IPsec профайл нь IPsec давхаргад урьдчилан хуваалцсан түлхүүр, дотоод PPP сесст хэрэглэгчийн нэр ба нууц үг шаардаж болох бөгөөд хоёрыг нь өөр өөр бүрэлдэхүүн шалгадаг. Хуваалцсан түлхүүр бүх гарцынх тул хэнийг ч танихгүй; зөвхөн нөгөө тал нууцыг мэдэж байгааг л батална.
IKEv2 нь ихэвчлэн сертификат, эсвэл хэрэглэгчийн нэр ба нууц үгтэй EAP ашигладаг бөгөөд урьдчилан хуваалцсан түлхүүр ч ашиглаж болно. Эдгээр сонголт нь L2TP-ийн хослолтой харилцан солилцох боломжгүй. Татгалзсан EAP нэвтрэлтийг засдаг нууц үг шинэчлэх нь хугацаа нь дууссан клиент сертификатод юу ч хийдэггүй, бүртгэлийн нууц үгийг хэдэн ч удаа бичсэн буруу гарцын түлхүүрийг хангахгүй. Хүлээгээгүй сануулга гарвал таамаглахын өмнө аль давхаргынх болохыг оператороос асуугаарай.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE юуг өөрчилдөг, юуг өөрчлөхгүй
Хоёр төгсгөл MOBIKE-ийг дэмжвэл IKEv2 холбоог шинэ хаяг руу зөөж чаддаг бөгөөд энэ нь зөөврийн компьютер Wi-Fi-аас гарч утасны хотспот руу шилжих тохиолдлыг аюулгүй байдлын холбоог таслахгүйгээр хамардаг.
Энэ нь тухайн шилжилтийн туршид бүх програмыг амьд байлгадаггүй. Тээврийн урсгал хаягаа сольсоор, хуучин хаягт холбогдсон сокетууд тасарсаар, интерфейсэд урсгалыг бэхэлсэн бодлого түүнийг унагасаар байна. Таны үнэхээр хийдэг шилжилтийг, өөрөөр хэлбэл сүлжээнээс гарах, уншлагаас сэрэх эсвэл урт завсарлагааны дараа буцаж ирэхийг туршаад, Connected шошгын оронд програмыг ажиглаарай.
Тэднийг ялгах бүтэлгүйтлийн хэлбэрүүд
Гарц хүрээд зогсдог L2TP/IPsec профайл ихэвчлэн хоёр сануулгын аль нэг дээр бүтэлгүйтдэг: хуваалцсан түлхүүр эсвэл PPP итгэмжлэл. Буруу түлхүүр ихэвчлэн клиентийн логт хэрэгтэй зүйл харуулдаггүй, харин буруу нууц үг тодорхой баталгаажуулалтын татгалзал үүсгэдэг бөгөөд энэ ялгаа нь хаанаас харахыг хэлж өгдөг.
Биеийн баримтлал эсвэл сертификат буруу бол IKEv2 профайл эрт бөгөөд чанга бүтэлгүйтдэг, учир нь удирдлагын холбоо хэзээ ч дуусдаггүй. Холбоо дууссан ч урсгал бүтэлгүйтвэл асуудал хүүхэд холбоо, урсгалын селектор эсвэл маршрут руу шилжсэн бөгөөд ямар ч итгэмжлэлийн өөрчлөлт туслахгүй.
Аль нь хаана тохирсоор байна
L2TP/IPsec нь бараг бүх клиент дээр байдаг, нэмэлт програм хангамж шаарддаггүй тул үлдсээр байгаа бөгөөд энэ нь таны удирддаггүй төхөөрөмж дээр ажилладаг гэрээт ажилтны хувьд чухал. Үнэ нь нэмэлт давхарга, хуваалцсан нууцын загвар, хаяг бүрийн өөрчлөлтийн дараах дахин холболт.
Удирддаг төхөөрөмжид IKEv2 илүү тохирдог: сертификатын баримтлал, илүү цэвэр хөдөлгөөнт байдал, бодоход нэг холбооны гэр бүл. Клиент хуучин бол илүү хатуу бүтэлгүйтдэг тул эргэн тойронд нь зохион бүтээхийн өмнө платформын дэмждэг баталгаажуулалтын аргыг шалгаарай.
Танд өгсөн профайлыг турших
Эхлээд серверийн талаас горимыг баталгаажуулж, дараа нь түүнд тохирох клиент профайлыг сонго. Тухайн профайлд олгосон яг хостны нэр, итгэмжлэлээр туршиж, нийтийн сайтын оронд хувийн нөөцийг баталгаажуулаарай.
Холбогддог ч юу ч ачаалагдахгүй бол туннел ажиллаж байгаа, харин маршрут, DNS эсвэл урсгалын селектор ажиллахгүй байна. Тэр үед протоколыг солих нь оношийг урагшлуулахгүй, дахин эхлүүлнэ.