IKEv2 lawan L2TP/IPsec: profil mana yang dijalankan pelayan anda?
Satu label menyembunyikan dua tindanan, tiga jenis rahsia dan tingkah laku berbeza apabila alamat berubah. Lerai lapisannya sebelum membandingkan menunya.
Kedua-dua nama muncul bersebelahan dalam menu lungsur yang sama, yang mengajak kepada pilihan antara yang setara. Kedua-duanya tidak setara. L2TP ialah protokol terowong tanpa kerahsiaan sendiri, dan perlindungan dalam perkhidmatan L2TP/IPsec datang daripada lapisan IPsec yang membungkusnya. IKEv2 berunding persatuan IPsec secara terus dan tiada langkah terowong di dalam terowong. Mengetahui tindanan mana yang ditawarkan pelayan anda menentukan profil, gesaan dan apa yang berlaku apabila komputer riba bertukar rangkaian.
Dua tindanan, satu label dalam klien
L2TP membawa sesi titik-ke-titik melalui UDP ke port 1701 dan menyerahkan penyulitan kepada sesiapa yang membungkusnya. Padankan dengan IPsec dan anda mendapat dua lapisan: persatuan IPsec yang melindungi laluan, dan di dalamnya sesi L2TP yang membawa bingkai lapisan pautan pengguna serta pengesahan PPP.
IKEv2 mencipta persatuan kawalan dan kemudian satu atau lebih persatuan anak yang melindungi trafik, semuanya dalam satu keluarga pertukaran pada UDP 500 dan 4500. Tiada protokol terowong dalaman dan tiada rundingan PPP.
Kelayakan: tiga rahsia pada tiga lapisan
Di sinilah sebahagian besar masa sokongan hilang. Profil L2TP/IPsec boleh meminta kunci yang dikongsi terlebih dahulu untuk lapisan IPsec dan nama pengguna dengan kata laluan untuk sesi PPP di dalamnya, dan kedua-duanya disemak oleh komponen berbeza. Kunci kongsi itu milik get laluan secara keseluruhan, jadi ia tidak mengenal pasti sesiapa; ia hanya membuktikan bahawa pihak lain mengetahui sesuatu rahsia.
IKEv2 lazimnya menggunakan sijil, atau EAP dengan nama pengguna dan kata laluan, dan ia juga boleh menggunakan kunci yang dikongsi terlebih dahulu. Pilihan itu tidak boleh ditukar ganti dengan pasangan L2TP. Set semula kata laluan yang membaiki log masuk EAP yang ditolak tidak melakukan apa-apa untuk sijil klien yang luput, dan berapa kali pun anda menaip semula kata laluan akaun, kunci get laluan yang salah tidak akan dipenuhi. Apabila gesaan muncul yang anda tidak jangkakan, tanya pengendali lapisan mana ia milik sebelum meneka.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Apa yang MOBIKE ubah, dan apa yang tidak
IKEv2 boleh memindahkan persatuan ke alamat baharu apabila kedua-dua hujung menyokong MOBIKE, yang merangkumi kes komputer riba meninggalkan wifi menuju hotspot telefon tanpa membuka persatuan keselamatan.
Ia tidak mengekalkan setiap aplikasi hidup sepanjang pemindahan itu. Aliran pengangkutan tetap bertukar alamat, soket yang terikat pada yang lama tetap terputus, dan dasar yang memaku trafik pada antara muka tetap boleh menggugurkannya. Uji peralihan yang benar-benar anda lakukan, sama ada meninggalkan rangkaian, bangun daripada tidur atau kembali selepas lama melahu, dan perhatikan aplikasinya, bukan label Bersambung.
Bentuk kegagalan yang memisahkan keduanya
Profil L2TP/IPsec yang sampai ke get laluan lalu berhenti cenderung gagal pada salah satu daripada dua gesaan: kunci kongsi atau kelayakan PPP. Kunci yang salah biasanya tidak menunjukkan apa-apa yang berguna dalam log klien, manakala kata laluan yang salah menghasilkan penolakan pengesahan yang jelas, dan perbezaan itu memberitahu anda di mana perlu dilihat.
Profil IKEv2 gagal lebih awal dan lebih kuat apabila identiti atau sijilnya salah, kerana persatuan kawalan tidak pernah selesai. Jika persatuan selesai dan trafik masih gagal, masalahnya telah berpindah ke persatuan anak, pemilih trafik atau laluan, dan tiada perubahan kelayakan akan membantu.
Di mana masing-masing masih sesuai
L2TP/IPsec kekal kerana ia ada pada hampir setiap klien dan tidak memerlukan perisian tambahan, yang penting bagi kontraktor pada peranti yang anda tidak uruskan. Harganya ialah lapisan tambahan, model rahsia kongsi dan sambungan semula selepas setiap perubahan alamat.
IKEv2 lebih sesuai untuk peranti terurus: identiti sijil, mobiliti lebih bersih dan satu keluarga persatuan untuk difikirkan. Ia juga gagal lebih keras apabila kliennya lama, jadi semak kaedah pengesahan yang disokong platform sebelum mereka bentuk di sekelilingnya.
Menguji profil yang anda terima
Sahkan dahulu modnya dari sisi pelayan, kemudian pilih profil klien yang sepadan. Uji dengan nama hos dan kelayakan tepat yang dikeluarkan untuk profil itu, dan sahkan sumber persendirian, bukan laman awam.
Jika ia bersambung dan tiada apa-apa dimuatkan, terowongnya berfungsi dan laluan, DNS atau pemilih trafiknya tidak. Menukar protokol pada ketika itu memulakan semula diagnosis dan bukannya memajukannya.