IKEv2 proti L2TP/IPsec: kateri profil teče na vašem strežniku?
Ena oznaka skriva dva sklada, tri vrste skrivnosti in drugačno vedenje ob spremembi naslova. Razvozlajte plasti, preden primerjate menije.
Imeni stojita drugo ob drugem v istem spustnem meniju, kar vabi k izbiri med enakovrednima. Nista enakovredni. L2TP je tunelski protokol brez lastne zaupnosti, zaščita v storitvi L2TP/IPsec pa prihaja iz plasti IPsec, ki ga ovije. IKEv2 se neposredno pogaja za asociacijo IPsec in nima koraka tunela v tunelu. Vedenje, kateri sklad ponuja vaš strežnik, določa profil, pozive in to, kaj se zgodi, ko prenosnik zamenja omrežje.
Dva sklada, ena oznaka v odjemalcu
L2TP prenaša sejo od točke do točke prek UDP na vrata 1701 in prepušča šifriranje tistemu, ki ga ovije. Povežite ga z IPsec in dobite dve plasti: asociacijo IPsec, ki varuje pot, in znotraj nje sejo L2TP, ki prenaša povezavne okvire uporabnika in preverjanje pristnosti PPP.
IKEv2 ustvari nadzorno asociacijo in nato eno ali več podrejenih asociacij, ki varujejo promet, vse v eni družini izmenjav na UDP 500 in 4500. Notranjega tunelskega protokola in pogajanja PPP ni.
Poverilnice: tri skrivnosti na treh plasteh
Tu izgine večina časa za podporo. Profil L2TP/IPsec lahko zahteva vnaprej deljeni ključ za plast IPsec in uporabniško ime z geslom za notranjo sejo PPP, oboje pa preverjajo različne komponente. Deljeni ključ pripada prehodu kot celoti, zato ne identificira nikogar; dokazuje le, da nasprotna stran pozna skrivnost.
IKEv2 običajno uporablja potrdila ali EAP z uporabniškim imenom in geslom, lahko pa uporabi tudi vnaprej deljeni ključ. Te možnosti niso zamenljive s parom L2TP. Ponastavitev gesla, ki odpravi zavrnjeno prijavo EAP, ne naredi ničesar za poteklo potrdilo odjemalca, in ne glede na to, kolikokrat vnovič vpišete geslo računa, napačnega ključa prehoda s tem ne boste zadovoljili. Ko se pojavi poziv, ki ga niste pričakovali, vprašajte upravljavca, kateri plasti pripada, preden ugibate.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Kaj MOBIKE spremeni in kaj ne
IKEv2 lahko premakne asociacijo na nov naslov, ko oba konca podpirata MOBIKE, kar pokriva primer, ko prenosnik zapusti wifi in preide na dostopno točko telefona, ne da bi razdružil varnostno asociacijo.
Ob tem pa ne ohrani življenja vsaki aplikaciji. Transportni tok vseeno zamenja naslov, vtičnice, vezane na starega, se vseeno zlomijo, in usmeritev, ki pripne promet na vmesnik, ga vseeno lahko zavrže. Preizkusite prehod, ki ga res izvajate, bodisi zapustitev omrežja, prebujanje iz spanja ali vrnitev po dolgem mirovanju, in opazujte aplikacijo, ne oznake Povezano.
Oblike okvare, ki ju ločijo
Profil L2TP/IPsec, ki doseže prehod in se nato ustavi, običajno odpove na enem od dveh pozivov: deljenem ključu ali poverilnicah PPP. Napačen ključ v dnevniku odjemalca običajno ne pokaže nič uporabnega, medtem ko napačno geslo povzroči izrecno zavrnitev preverjanja pristnosti, in ta razlika vam pove, kje iskati.
Profil IKEv2 odpove prej in glasneje, ko sta identiteta ali potrdilo napačna, ker se nadzorna asociacija nikoli ne dokonča. Če se asociacija dokonča in promet še vedno odpoveduje, se je težava preselila v podrejeno asociacijo, v izbirnike prometa ali v pot, in nobena sprememba poverilnic ne bo pomagala.
Kje se vsak še prilega
L2TP/IPsec vztraja, ker je prisoten na skoraj vsakem odjemalcu in ne potrebuje dodatne programske opreme, kar je pomembno za zunanjega izvajalca na napravi, ki je ne upravljate. Cena je dodatna plast, model deljene skrivnosti in ponovna povezava po vsaki spremembi naslova.
IKEv2 se bolje prilega upravljanim napravam: identiteta s potrdilom, čistejša mobilnost in ena družina asociacij, o kateri je treba razmišljati. Odpove tudi trše, ko je odjemalec star, zato preverite podprto metodo preverjanja pristnosti platforme, preden načrtujete okoli nje.
Preizkušanje profila, ki ste ga dobili
Najprej potrdite način na strani strežnika, nato izberite profil odjemalca, ki se ujema z njim. Preizkusite s točnim imenom gostitelja in poverilnicami, izdanimi za ta profil, in preverite zasebni vir, ne javnega spletnega mesta.
Če se poveže in se nič ne naloži, tunel deluje, pot, DNS ali izbirnik prometa pa ne. Zamenjava protokola na tej točki diagnozo znova zažene, namesto da bi jo premaknila naprej.