IKEv2 față de L2TP/IPsec: ce profil rulează serverul tău?
O singură etichetă ascunde două stive, trei feluri de secret și un comportament diferit când se schimbă adresa. Descurcă straturile înainte de a compara meniurile.
Cele două nume apar unul lângă altul în același meniu derulant, ceea ce invită la o alegere între egali. Nu sunt egali. L2TP este un protocol de tunel fără confidențialitate proprie, iar protecția dintr-un serviciu L2TP/IPsec vine de la stratul IPsec care îl învelește. IKEv2 negociază direct o asociere IPsec și nu are niciun pas de tunel în tunel. Să știi ce stivă oferă serverul tău decide profilul, solicitările și ce se întâmplă când laptopul își schimbă rețeaua.
Două stive, o singură etichetă în client
L2TP transportă o sesiune punct-la-punct prin UDP către portul 1701 și lasă criptarea în seama celui care îl învelește. Asociază-l cu IPsec și obții două straturi: o asociere IPsec care protejează calea și, în interior, o sesiune L2TP care duce cadrele de nivel legătură ale utilizatorului și autentificarea PPP.
IKEv2 creează o asociere de control și apoi una sau mai multe asocieri copil care protejează traficul, totul într-o singură familie de schimburi pe UDP 500 și 4500. Nu există protocol de tunel interior și nicio negociere PPP.
Acreditări: trei secrete întinse pe trei straturi
Aici dispare cea mai mare parte a timpului de suport. Un profil L2TP/IPsec poate cere o cheie prepartajată pentru stratul IPsec și un nume de utilizator cu parolă pentru sesiunea PPP din interior, iar cele două sunt verificate de componente diferite. Cheia partajată aparține gateway-ului în ansamblu, așa că nu identifică pe nimeni; dovedește doar că partea cealaltă cunoaște un secret.
IKEv2 folosește de obicei certificate sau EAP cu nume de utilizator și parolă și poate folosi și o cheie prepartajată. Opțiunile acelea nu sunt interschimbabile cu perechea L2TP. O resetare de parolă care repară o autentificare EAP respinsă nu face nimic pentru un certificat de client expirat, iar oricât ai retasta parola contului nu vei satisface o cheie de gateway greșită. Când apare o solicitare la care nu te așteptai, întreabă operatorul cărui strat îi aparține înainte de a ghici.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Ce schimbă MOBIKE și ce nu
IKEv2 poate muta o asociere pe o adresă nouă când ambele capete suportă MOBIKE, ceea ce acoperă cazul unui laptop care trece de la wifi la hotspotul unui telefon fără a demonta asocierea de securitate.
Nu ține în viață fiecare aplicație în timpul acelei mutări. Fluxul de transport își schimbă totuși adresa, socketurile legate de cea veche se rup totuși, iar o politică ce fixează traficul pe o interfață îl poate totuși pierde. Testează tranziția pe care o faci efectiv, fie că este vorba de a părăsi o rețea, de a te trezi din repaus sau de a reveni după o perioadă lungă de inactivitate, și urmărește aplicația, nu eticheta Conectat.
Forme de eșec care le despart
Un profil L2TP/IPsec care ajunge la gateway și apoi se oprește eșuează de obicei pe una din două solicitări: cheia partajată sau acreditările PPP. O cheie greșită nu arată de obicei nimic util în jurnalul clientului, în timp ce o parolă greșită produce o respingere explicită a autentificării, iar diferența îți spune unde să te uiți.
Un profil IKEv2 eșuează mai devreme și mai zgomotos când identitatea sau certificatul sunt greșite, pentru că asocierea de control nu se finalizează niciodată. Dacă asocierea se finalizează și traficul tot eșuează, problema s-a mutat pe asocierea copil, pe selectoarele de trafic sau pe rută, și nicio schimbare de acreditări nu va ajuta.
Unde încă se potrivește fiecare
L2TP/IPsec persistă pentru că e prezent pe aproape fiecare client și nu cere software suplimentar, ceea ce contează pentru un colaborator extern pe un dispozitiv pe care nu îl administrezi. Costul este stratul suplimentar, modelul secretului partajat și o reconectare după fiecare schimbare de adresă.
IKEv2 se potrivește mai bine dispozitivelor administrate: identitate prin certificat, mobilitate mai curată și o singură familie de asocieri la care să te gândești. Eșuează și mai dur când clientul e vechi, așa că verifică metoda de autentificare acceptată de platformă înainte de a proiecta în jurul ei.
Testarea profilului pe care l-ai primit
Confirmă mai întâi modul din partea serverului, apoi alege profilul de client care i se potrivește. Testează cu numele de gazdă și acreditările exacte emise pentru acel profil și verifică resursa privată, nu un site public.
Dacă se conectează și nu se încarcă nimic, tunelul funcționează, iar ruta, DNS-ul sau selectorul de trafic nu. Schimbarea protocolului în acel punct repornește diagnosticarea în loc să o avanseze.