IKEv2 eller L2TP/IPsec: kva profil køyrer tenaren din?
Ei merkelapp skjuler to stakkar, tre slag løyndom og annleis åtferd når adressa endrar seg. Skil laga frå kvarandre før du samanliknar menyane.
Dei to namna står side om side i same nedtrekksliste, noko som innbyr til eit val mellom likeverdige. Dei er ikkje likeverdige. L2TP er ein tunnellprotokoll utan konfidensialitet i seg sjølv, og vernet i ein L2TP/IPsec-teneste kjem frå IPsec-laget som er lagt rundt han. IKEv2 forhandlar ein IPsec-assosiasjon direkte og har ikkje noko steg med tunnel inne i tunnel. Å vite kva stakk tenaren din tilbyr avgjer profilen, meldingane og kva som skjer når laptopen byter nettverk.
To stakkar, éin merkelapp i klienten
L2TP ber ein punkt-til-punkt-sesjon over UDP til port 1701 og lèt krypteringa til den som pakkar han inn. Para han med IPsec og du får to lag: ein IPsec-assosiasjon som vernar vegen, og ein L2TP-sesjon inni som ber lenkjelagsrammene til brukaren og PPP-autentiseringa.
IKEv2 lagar ein kontrollassosiasjon og deretter ein eller fleire barnassosiasjonar som vernar trafikken, alle i éin utvekslingsfamilie på UDP 500 og 4500. Det finst ingen indre tunnellprotokoll og ingen PPP-forhandling.
Innlogging: tre løyndomar på tre lag
Det er her mesteparten av støttetida forsvinn. Ein L2TP/IPsec-profil kan be om ein førdelt nøkkel for IPsec-laget og eit brukarnamn med passord for PPP-sesjonen inni, og dei to blir sjekka av ulike komponentar. Den delte nøkkelen høyrer til heile gatewayen, så han identifiserer ingen; han beviser berre at motparten kjenner ein løyndom.
IKEv2 brukar oftast sertifikat, eller EAP med brukarnamn og passord, og kan også bruke ein førdelt nøkkel. Dei vala kan ikkje bytast om med L2TP-paret. Ei passordnullstilling som fiksar ei avvist EAP-innlogging gjer ingenting for eit utløpt klientsertifikat, og same kor mange gonger du skriv inn kontopassordet blir ein feil gatewaynøkkel ikkje oppfylt. Når det dukkar opp ei melding du ikkje venta, spør operatøren kva lag ho høyrer til før du gissar.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Kva MOBIKE endrar, og kva det ikkje endrar
IKEv2 kan flytte ein assosiasjon til ei ny adresse når begge endane støttar MOBIKE, noko som dekkjer tilfellet der ein laptop forlèt Wi-Fi for ein telefonhotspot utan å rive ned sikkerheitsassosiasjonen.
Det held ikkje kvar applikasjon i live gjennom den flyttinga. Transportstraumen byter framleis adresse, soklar bundne til den gamle adressa bryt framleis saman, og ein politikk som pinnar trafikk til eit grensesnitt kan framleis sleppe han. Test overgangen du faktisk gjer, anten det er å forlate eit nettverk, vakne frå søvn eller kome tilbake etter ei lang stille, og sjå på applikasjonen i staden for merkelappen Connected.
Feilmønstera som skil dei
Ein L2TP/IPsec-profil som når gatewayen og så stoppar, feilar oftast på éi av to meldingar: den delte nøkkelen eller PPP-innlogginga. Ein feil nøkkel viser vanlegvis ingenting nyttig i klientloggen, medan eit feil passord gjev ei tydeleg avvising av autentiseringa, og skilnaden fortel kvar du skal leite.
Ein IKEv2-profil feilar tidlegare og meir høglytt når identiteten eller sertifikatet er feil, fordi kontrollassosiasjonen aldri blir fullført. Viss assosiasjonen blir fullført og trafikken likevel feilar, har problemet flytta seg til barnassosiasjonen, trafikkveljarane eller ruta, og inga endring av innlogging vil hjelpe.
Kvar kvar av dei framleis passar
L2TP/IPsec held stand fordi det finst på nesten kvar klient og ikkje krev ekstra programvare, noko som tel for ein entreprenør på ei eining du ikkje styrer. Prisen er det ekstra laget, modellen med delt løyndom og ei ny tilkopling etter kvar adresseendring.
IKEv2 passar betre for styrte einingar: sertifikatidentitet, reinare mobilitet og éin assosiasjonsfamilie å tenkje på. Det feilar også hardare når klienten er gammal, så sjekk kva autentiseringsmetode plattforma støttar før du designar rundt det.
Å teste profilen du fekk
Stadfest modusen frå tenarsida først, og vel så klientprofilen som passar til han. Test med det nøyaktige vertsnamnet og dei innloggingane som vart utstedde for den profilen, og stadfest den private ressursen i staden for ein offentleg stad.
Viss det koplar til og ingenting lastar, verkar tunnelen og ruta, DNS eller trafikkveljaren gjer det ikkje. Å byte protokoll på det punktet startar diagnosen på nytt i staden for å føre han vidare.