IKEv2 kontra L2TP/IPsec: hvilken profil kjører serveren din?
Én etikett skjuler to stabler, tre slags hemmeligheter og en annen oppførsel når adressen endres. Rydd i lagene før du sammenligner menyene.
De to navnene står side om side i samme rullegardinmeny, noe som inviterer til et valg mellom likeverdige. De er ikke likeverdige. L2TP er en tunnelprotokoll uten egen konfidensialitet, og beskyttelsen i en L2TP/IPsec-tjeneste kommer fra IPsec-laget som pakker den inn. IKEv2 forhandler direkte en IPsec-assosiasjon og har ikke noe trinn med tunnel i tunnel. Å vite hvilken stabel serveren din tilbyr avgjør profilen, ledetekstene og hva som skjer når laptopen bytter nettverk.
To stabler, én etikett i klienten
L2TP bærer en punkt-til-punkt-sesjon over UDP til port 1701 og overlater krypteringen til den som pakker den inn. Par den med IPsec og du får to lag: en IPsec-assosiasjon som beskytter veien, og inni den en L2TP-sesjon som bærer brukerens lenkelagsrammer og PPP-autentiseringen.
IKEv2 oppretter en kontrollassosiasjon og deretter én eller flere underordnede assosiasjoner som beskytter trafikken, alt i én utvekslingsfamilie på UDP 500 og 4500. Det finnes ingen indre tunnelprotokoll og ingen PPP-forhandling.
Påloggingsdata: tre hemmeligheter på tre lag
Det er her mesteparten av støttetiden forsvinner. En L2TP/IPsec-profil kan be om en forhåndsdelt nøkkel for IPsec-laget og et brukernavn med passord for PPP-sesjonen inni, og de to kontrolleres av ulike komponenter. Den delte nøkkelen tilhører gatewayen som helhet, så den identifiserer ingen; den beviser bare at motparten kjenner en hemmelighet.
IKEv2 bruker ofte sertifikater, eller EAP med brukernavn og passord, og det kan også bruke en forhåndsdelt nøkkel. De alternativene kan ikke byttes mot L2TP-paret. En tilbakestilling av passordet som ordner en avvist EAP-innlogging gjør ingenting for et utløpt klientdertifikat, og uansett hvor mange ganger du skriver inn kontopassordet på nytt, tilfredsstiller det ikke en feil gatewaynøkkel. Når det dukker opp en ledetekst du ikke ventet, spør driftsansvarlig hvilket lag den hører til før du gjetter.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Hva MOBIKE endrer, og hva det ikke gjør
IKEv2 kan flytte en assosiasjon til en ny adresse når begge endepunktene støtter MOBIKE, noe som dekker tilfellet der en laptop forlater wifi for en hotspot fra en telefon uten å rive sikkerhetsassosiasjonen.
Det holder ikke hver applikasjon i live gjennom den flyttingen. Transportstrømmen bytter fortsatt adresse, sokler bundet til den gamle ryker fortsatt, og en policy som låser trafikk til et grensesnitt kan fortsatt miste den. Test overgangen du faktisk gjør, enten det er å forlate et nettverk, våkne fra dvale eller komme tilbake etter en lang inaktivitetsperiode, og se på applikasjonen i stedet for etiketten Tilkoblet.
Feilformer som skiller dem
En L2TP/IPsec-profil som når gatewayen og så stopper, feiler vanligvis på en av to ledetekster: den delte nøkkelen eller PPP-påloggingsdataene. En feil nøkkel viser vanligvis ingenting nyttig i en klientlogg, mens et feil passord gir en uttrykkelig avvisning av autentiseringen, og forskjellen forteller deg hvor du skal lete.
En IKEv2-profil feiler tidligere og høyere når identiteten eller sertifikatet er feil, fordi kontrollassosiasjonen aldri fullføres. Fullføres assosiasjonen og trafikken fortsatt feiler, har problemet flyttet seg til den underordnede assosiasjonen, trafikkvelgerne eller ruten, og ingen endring av påloggingsdata hjelper.
Hvor hver av dem fortsatt passer
L2TP/IPsec holder stand fordi det finnes på nesten hver klient og ikke krever ekstra programvare, noe som betyr noe for en konsulent på en enhet du ikke administrerer. Prisen er det ekstra laget, modellen med delt hemmelighet og en gjenoppkobling etter hver adresseendring.
IKEv2 passer bedre for administrerte enheter: sertifikatidentitet, renere mobilitet og én assosiasjonsfamilie å tenke over. Det feiler også hardere når klienten er gammel, så sjekk plattformens støttede autentiseringsmetode før du designer rundt den.
Teste profilen du har fått
Bekreft først modusen på serversiden, og velg deretter klientprofilen som passer til den. Test med det nøyaktige vertsnavnet og de påloggingsdataene som er utstedt for den profilen, og verifiser den private ressursen i stedet for et offentlig nettsted.
Hvis den kobler til og ingenting lastes, virker tunnelen og ikke ruten, DNS-en eller trafikkvelgeren. Å bytte protokoll på det tidspunktet starter diagnosen på nytt i stedet for å føre den videre.