IKEv2 verzus L2TP/IPsec: ktorý profil beží na vašom serveri?
Jedna nálepka skrýva dva zásobníky, tri druhy tajomstva a iné správanie pri zmene adresy. Rozpleťte vrstvy, kým začnete porovnávať ponuky.
Obe mená stoja vedľa seba v tom istom rozbaľovacom zozname, čo zvádza k voľbe medzi rovnocennými. Nie sú rovnocenné. L2TP je tunelovací protokol bez vlastnej dôvernosti a ochrana v službe L2TP/IPsec pochádza z vrstvy IPsec, ktorá ho obaľuje. IKEv2 vyjednáva asociáciu IPsec priamo a nemá žiadny krok tunela v tuneli. Vedieť, ktorý zásobník váš server ponúka, určuje profil, výzvy a to, čo sa stane, keď notebook zmení sieť.
Dva zásobníky, jedna nálepka v klientovi
L2TP prenáša reláciu bod-bod cez UDP na port 1701 a šifrovanie necháva na tom, kto ho obalí. Spojte ho s IPsec a získate dve vrstvy: asociáciu IPsec, ktorá chráni cestu, a vnútri nej reláciu L2TP, ktorá prenáša linkové rámce používateľa a autentizáciu PPP.
IKEv2 vytvorí riadiacu asociáciu a potom jednu alebo viac podriadených asociácií, ktoré chránia prevádzku, to všetko v jednej rodine výmen na UDP 500 a 4500. Neexistuje žiadny vnútorný tunelovací protokol ani vyjednávanie PPP.
Prihlasovacie údaje: tri tajomstvá v troch vrstvách
Tu mizne väčšina času podpory. Profil L2TP/IPsec môže žiadať predzdieľaný kľúč pre vrstvu IPsec a používateľské meno s heslom pre vnútornú reláciu PPP, a oboje kontrolujú rôzne komponenty. Zdieľaný kľúč patrí bráne ako celku, takže nikoho neidentifikuje; iba dokazuje, že protistrana pozná tajomstvo.
IKEv2 zvyčajne používa certifikáty alebo EAP s používateľským menom a heslom a môže použiť aj predzdieľaný kľúč. Tieto možnosti nie sú zameniteľné s dvojicou L2TP. Reset hesla, ktorý spraví odmietnuté prihlásenie EAP, nič neurobí pre prepadnutý klientsky certifikát a nech heslo účtu prepisujete akokoľvek, zlý kľúč brány tým neuspokojíte. Keď sa objaví výzva, ktorú ste nečakali, opýtajte sa prevádzkovateľa, ku ktorej vrstve patrí, kým začnete hádať.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Čo MOBIKE mení a čo nie
IKEv2 môže presunúť asociáciu na novú adresu, keď oba konce podporujú MOBIKE, čo pokrýva prípad, keď notebook opustí wifi a prejde na hotspot telefónu bez toho, aby rozobral bezpečnostnú asociáciu.
Nezachová však pri tom presune život každej aplikácii. Prenosový tok napriek tomu mení adresu, sokety viazané na starú sa napriek tomu rozbijú a zásada, ktorá pripína prevádzku k rozhraniu, ju napriek tomu môže zahodiť. Otestujte prechod, ktorý skutočne vykonávate, či už ide o opustenie siete, prebudenie zo spánku alebo návrat po dlhej nečinnosti, a sledujte aplikáciu, nie štítok Pripojené.
Podoby zlyhania, ktoré ich oddeľujú
Profil L2TP/IPsec, ktorý sa dostane k bráne a potom sa zastaví, zvyčajne zlyhá na jednej z dvoch výziev: zdieľanom kľúči alebo prihlasovacích údajoch PPP. Zlý kľúč zvyčajne v klientskom protokole nič užitočné neukáže, kým zlé heslo vyvolá výslovné odmietnutie autentizácie, a ten rozdiel vám povie, kam sa pozerať.
Profil IKEv2 zlyhá skôr a hlasnejšie, keď je identita alebo certifikát zlý, pretože riadiaca asociácia sa nikdy nedokončí. Ak sa asociácia dokončí a prevádzka napriek tomu zlyháva, problém sa presunul do podriadenej asociácie, do selektorov prevádzky alebo do trasy, a žiadna zmena prihlasovacích údajov nepomôže.
Kde sa každý ešte hodí
L2TP/IPsec pretrváva, pretože je na takmer každom klientovi a nepotrebuje ďalší softvér, čo je dôležité pre externého technika na zariadení, ktoré nespravujete. Cenou je vrstva navyše, model zdieľaného tajomstva a opätovné pripojenie po každej zmene adresy.
IKEv2 sa hodí lepšie k spravovaným zariadeniam: identita certifikátom, čistejšia mobilita a jedna rodina asociácií, o ktorej treba uvažovať. Tiež zlyháva tvrdšie, keď je klient starý, preto si pred návrhom okolo neho overte podporovanú metódu autentizácie platformy.
Testovanie profilu, ktorý ste dostali
Najprv potvrďte režim na strane servera, potom vyberte klientsky profil, ktorý k nemu patrí. Testujte s presným názvom hostiteľa a údajmi vydanými pre tento profil a overujte súkromný zdroj, nie verejný web.
Ak sa pripojí a nič sa nenačítava, tunel funguje a trasa, DNS alebo selektor prevádzky nie. Zmena protokolu v tej chvíli diagnostiku reštartuje, namiesto toho aby ju posunula.