IKEv2 versus L2TP/IPsec: welk profiel draait uw server?
Eén label verbergt twee stapels, drie soorten geheim en ander gedrag bij een adreswijziging. Ontwar de lagen voordat u de menu's vergelijkt.
De twee namen staan naast elkaar in hetzelfde keuzemenu, wat een keuze tussen gelijken suggereert. Ze zijn geen gelijken. L2TP is een tunnelprotocol zonder eigen vertrouwelijkheid, en de bescherming in een L2TP/IPsec-dienst komt van de IPsec-laag eromheen. IKEv2 onderhandelt rechtstreeks een IPsec-associatie en kent geen stap tunnel-in-tunnel. Weten welke stapel uw server biedt, bepaalt het profiel, de prompts en wat er gebeurt als de laptop van netwerk wisselt.
Twee stapels, één label in de client
L2TP draagt een point-to-pointsessie over UDP naar poort 1701 en laat versleuteling over aan wie het omhult. Combineer het met IPsec en u krijgt twee lagen: een IPsec-associatie die het pad beschermt, en daarbinnen een L2TP-sessie die de link-layerframes van de gebruiker en de PPP-authenticatie vervoert.
IKEv2 maakt een besturingsassociatie en daarna een of meer kindassociaties die verkeer beschermen, alles in één uitwisselingsfamilie op UDP 500 en 4500. Er is geen innerlijk tunnelprotocol en geen PPP-onderhandeling.
Inloggegevens: drie geheimen op drie lagen
Hier verdwijnt het meeste supporttijd. Een L2TP/IPsec-profiel kan om een vooraf gedeelde sleutel voor de IPsec-laag vragen en om een gebruikersnaam met wachtwoord voor de PPP-sessie binnenin, en beide worden door verschillende componenten gecontroleerd. De gedeelde sleutel hoort bij de gateway als geheel, dus identificeert niemand; hij bewijst alleen dat de tegenpartij een geheim kent.
IKEv2 gebruikt meestal certificaten, of EAP met een gebruikersnaam en wachtwoord, en kan ook een vooraf gedeelde sleutel gebruiken. Die opties zijn niet uitwisselbaar met het L2TP-paar. Een wachtwoordreset die een geweigerde EAP-aanmelding verhelpt, doet niets voor een verlopen clientcertificaat, en hoe vaak u het accountwachtwoord ook opnieuw intikt, een verkeerde gatewaysleutel wordt er niet mee bevredigd. Als er een prompt verschijnt die u niet verwachtte, vraag de beheerder dan bij welke laag die hoort voordat u gaat gissen.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Wat MOBIKE verandert, en wat niet
IKEv2 kan een associatie naar een nieuw adres verplaatsen wanneer beide eindpunten MOBIKE ondersteunen, wat het geval dekt van een laptop die van wifi naar een hotspot van een telefoon gaat zonder de beveiligingsassociatie af te breken.
Het houdt niet elke toepassing in leven tijdens die verplaatsing. De transportstroom verandert nog steeds van adres, sockets die aan het oude adres gebonden zijn breken nog steeds, en een beleid dat verkeer aan een interface vastzet kan het nog steeds laten vallen. Test de overgang die u werkelijk maakt, of dat nu een netwerk verlaten, uit slaap ontwaken of terugkomen na een lange periode van inactiviteit is, en kijk naar de toepassing in plaats van naar het label Verbonden.
Faalvormen die ze scheiden
Een L2TP/IPsec-profiel dat de gateway bereikt en dan stopt, faalt meestal op een van twee prompts: de gedeelde sleutel of de PPP-inloggegevens. Een verkeerde sleutel levert in een clientlog meestal niets bruikbaars op, terwijl een verkeerd wachtwoord een expliciete authenticatieweigering geeft, en dat verschil zegt u waar u moet kijken.
Een IKEv2-profiel faalt eerder en luider wanneer de identiteit of het certificaat onjuist is, omdat de besturingsassociatie nooit tot stand komt. Komt de associatie wel tot stand en faalt verkeer nog steeds, dan is het probleem naar de kindassociatie, de verkeersselectoren of de route verschoven, en geen enkele wijziging van inloggegevens helpt.
Waar elk nog past
L2TP/IPsec houdt stand omdat het op bijna elke client aanwezig is en geen extra software nodig heeft, wat telt voor een contractor op een apparaat dat u niet beheert. De prijs is de extra laag, het model met gedeeld geheim en een herverbinding na elke adreswijziging.
IKEv2 past beter bij beheerde apparaten: certificaatidentiteit, schonere mobiliteit en één associatiefamilie om over na te denken. Het faalt ook harder wanneer de client oud is, dus controleer de ondersteunde authenticatiemethode van het platform voordat u daaromheen ontwerpt.
Het profiel testen dat u gekregen hebt
Bevestig eerst de modus aan de serverkant en kies dan het clientprofiel dat daarbij past. Test met de exacte hostnaam en inloggegevens die voor dat profiel zijn uitgegeven, en controleer de privébron in plaats van een publieke site.
Als het verbindt en niets laadt, werkt de tunnel en niet de route, de DNS of de verkeersselector. Op dat punt het protocol wisselen herstart de diagnose in plaats van haar verder te brengen.