IKEv2 versus L2TP/IPsec: qual perfil o seu servidor executa?
Um único rótulo esconde duas pilhas, três tipos de segredo e um comportamento diferente quando o endereço muda. Arrume as camadas antes de comparar os menus.
Os dois nomes aparecem lado a lado no mesmo menu pendente, o que convida a uma escolha entre iguais. Não são iguais. L2TP é um protocolo de túnel sem confidencialidade própria, e a proteção num serviço L2TP/IPsec vem da camada IPsec que o envolve. O IKEv2 negoceia diretamente uma associação IPsec e não tem qualquer passo de túnel dentro de túnel. Saber que pilha o seu servidor oferece decide o perfil, os pedidos e o que acontece quando o portátil muda de rede.
Duas pilhas, um rótulo no cliente
O L2TP transporta uma sessão ponto a ponto sobre UDP até à porta 1701 e deixa a cifra para quem o envolve. Combine-o com IPsec e obtém duas camadas: uma associação IPsec que protege o caminho e, lá dentro, uma sessão L2TP que transporta as tramas de camada de ligação do utilizador e a autenticação PPP.
O IKEv2 cria uma associação de controlo e depois uma ou mais associações filhas que protegem o tráfego, tudo numa só família de trocas em UDP 500 e 4500. Não há protocolo de túnel interno nem negociação PPP.
Credenciais: três segredos em três camadas
É aqui que desaparece a maior parte do tempo de apoio. Um perfil L2TP/IPsec pode pedir uma chave pré-partilhada para a camada IPsec e um nome de utilizador com palavra-passe para a sessão PPP interior, e as duas coisas são verificadas por componentes diferentes. A chave partilhada pertence ao gateway como um todo, por isso não identifica ninguém; apenas prova que o par conhece um segredo.
O IKEv2 usa habitualmente certificados, ou EAP com nome de utilizador e palavra-passe, e também pode usar uma chave pré-partilhada. Essas opções não são intermutáveis com o par L2TP. Uma reposição de palavra-passe que resolve um início de sessão EAP rejeitado não faz nada por um certificado de cliente expirado, e por muito que reescreva a palavra-passe da conta nunca satisfará uma chave de gateway errada. Quando aparecer um pedido que não esperava, pergunte ao operador a que camada pertence antes de adivinhar.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
O que o MOBIKE muda, e o que não muda
O IKEv2 pode mover uma associação para um endereço novo quando ambos os extremos suportam MOBIKE, o que cobre o caso de um portátil que sai do wifi para o ponto de acesso de um telemóvel sem desmontar a associação de segurança.
Não mantém todas as aplicações vivas durante essa mudança. O fluxo de transporte muda na mesma de endereço, os sockets ligados ao antigo quebram na mesma, e uma política que fixa o tráfego a uma interface pode continuar a descartá-lo. Teste a transição que faz realmente, seja sair de uma rede, acordar do repouso ou regressar após um longo período de inatividade, e olhe para a aplicação em vez do rótulo Ligado.
Formas de falha que os separam
Um perfil L2TP/IPsec que chega ao gateway e para tende a falhar num de dois pedidos: a chave partilhada ou as credenciais PPP. Uma chave errada normalmente não mostra nada de útil no registo do cliente, enquanto uma palavra-passe errada produz uma rejeição de autenticação explícita, e essa diferença diz-lhe onde olhar.
Um perfil IKEv2 falha mais cedo e mais alto quando a identidade ou o certificado estão errados, porque a associação de controlo nunca se completa. Se a associação se completar e o tráfego continuar a falhar, o problema passou para a associação filha, para os selectores de tráfego ou para a rota, e nenhuma mudança de credenciais ajudará.
Onde cada um ainda encaixa
O L2TP/IPsec persiste porque está presente em quase todos os clientes e não precisa de software adicional, o que conta para um prestador num dispositivo que não gere. O custo é a camada extra, o modelo de segredo partilhado e uma reconexão após cada mudança de endereço.
O IKEv2 encaixa melhor em dispositivos geridos: identidade por certificado, mobilidade mais limpa e uma única família de associações para raciocinar. Também falha com mais dureza quando o cliente é antigo, por isso verifique o método de autenticação suportado pela plataforma antes de desenhar em torno dele.
Testar o perfil que lhe deram
Confirme primeiro o modo do lado do servidor e só depois escolha o perfil de cliente que lhe corresponde. Teste com o nome de anfitrião e as credenciais exatos emitidos para esse perfil, e verifique o recurso privado em vez de um site público.
Se liga e não carrega nada, o túnel está a funcionar e a rota, o DNS ou o selector de tráfego não. Mudar de protocolo nesse ponto reinicia o diagnóstico em vez de o fazer avançar.