IKEv2 apo L2TP/IPsec: cilin profil ekzekuton serveri juaj?
Një etiketë fsheh dy stiva, tre lloje sekretesh dhe sjellje të ndryshme kur ndryshon adresa. Ndani shtresat përpara se të krahasoni menytë.
Të dy emrat shfaqen krah për krah në të njëjtën listë zbritëse, gjë që të fton të zgjedhësh mes dy të barabartësh. Ata nuk janë të barabartë. L2TP është një protokoll tunelimi pa konfidencialitet të vetin, dhe mbrojtja në një shërbim L2TP/IPsec vjen nga shtresa IPsec e mbështjellë rreth tij. IKEv2 negocion drejtpërdrejt një asociacion IPsec dhe nuk ka hap tuneli brenda tunelit. Të dish se cilën stivë ofron serveri yt vendos profilin, pyetjet dhe çfarë ndodh kur laptopi ndryshon rrjet.
Dy stiva, një etiketë te klienti
L2TP mbart një sesion pikë-për-pikë mbi UDP deri te porta 1701 dhe e lë kriptimin atij që e mbështjell. Çiftoje me IPsec dhe merr dy shtresa: një asociacion IPsec që mbron rrugën, dhe një sesion L2TP brenda tij që mbart kornizat e shtresës së lidhjes së përdoruesit dhe vërtetimin PPP.
IKEv2 krijon një asociacion kontrolli dhe më pas një ose më shumë asociacione fëmijë që mbrojnë trafikun, të gjitha në një familje shkëmbimi mbi UDP 500 dhe 4500. Nuk ka protokoll tunelimi të brendshëm dhe as negociim PPP.
Kredencialet: tre sekrete mbi tre shtresa
Këtu humbet pjesa më e madhe e kohës së suportit. Një profil L2TP/IPsec mund të kërkojë një çelës të paracaktuar për shtresën IPsec dhe një emër përdoruesi me fjalëkalim për sesionin PPP brenda, dhe të dyja i kontrollojnë komponentë të ndryshëm. Çelësi i përbashkët i takon të gjithë portës, prandaj nuk identifikon askënd; ai vetëm provon se pala tjetër njeh një sekret.
IKEv2 zakonisht përdor certifikata, ose EAP me emër përdoruesi dhe fjalëkalim, dhe mund të përdorë edhe një çelës të paracaktuar. Këto opsione nuk janë të këmbyeshme me çiftin L2TP. Një rivendosje fjalëkalimi që rregullon një hyrje EAP të refuzuar nuk bën asgjë për një certifikatë klienti të skaduar, dhe sado herë të rishkruash fjalëkalimin e llogarisë nuk plotëson një çelës të gabuar të portës. Kur shfaqet një kërkesë që nuk e prisje, pyet operatorin se cilës shtresë i takon përpara se të hamendësosh.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Çfarë ndryshon MOBIKE dhe çfarë jo
IKEv2 mund ta zhvendosë një asociacion në një adresë të re kur të dy skajet mbështesin MOBIKE, gjë që mbulon rastin e një laptopi që largohet nga Wi-Fi për një hotspot telefoni pa shkëputur asociacionin e sigurisë.
Ai nuk mban gjallë çdo aplikacion gjatë asaj zhvendosjeje. Rrjedha e transportit prapë ndryshon adresë, soketat e lidhura me adresën e vjetër prapë thyhen, dhe një politikë që fikson trafikun në një ndërfaqe prapë mund ta hedhë poshtë. Testo tranzicionin që bën vërtet, qoftë largimi nga një rrjet, zgjimi nga gjumi apo kthimi pas një periudhe të gjatë pasiviteti, dhe shiko aplikacionin, jo etiketën Connected.
Format e dështimit që i ndajnë
Një profil L2TP/IPsec që arrin te porta dhe ndalon zakonisht dështon në njërën nga dy kërkesat: çelësi i përbashkët ose kredencialet PPP. Një çelës i gabuar zakonisht nuk tregon asgjë të dobishme në regjistrin e klientit, ndërsa një fjalëkalim i gabuar prodhon një refuzim të qartë vërtetimi, dhe ky ndryshim të thotë ku të shikosh.
Një profil IKEv2 dështon më herët dhe më me zë kur identiteti ose certifikata është e gabuar, sepse asociacioni i kontrollit nuk përfundon kurrë. Nëse asociacioni përfundon dhe trafiku prapë dështon, problemi ka kaluar te asociacioni fëmijë, te përzgjedhësit e trafikut ose te rruga, dhe asnjë ndryshim kredenciali nuk do të ndihmojë.
Ku secili ende përshtatet
L2TP/IPsec vazhdon sepse është i pranishëm pothuajse në çdo klient dhe nuk kërkon software shtesë, gjë që ka rëndësi për një kontraktor në një pajisje që nuk e menaxhon ti. Kostoja është shtresa shtesë, modeli i sekretit të përbashkët dhe një rilidhje pas çdo ndryshimi adrese.
IKEv2 përshtatet më mirë me pajisjet e menaxhuara: identitet me certifikatë, lëvizshmëri më e pastër dhe një familje asociacionesh për të arsyetuar. Ai gjithashtu dështon më ashpër kur klienti është i vjetër, ndaj kontrollo metodën e vërtetimit të mbështetur nga platforma përpara se të projektosh rreth tij.
Testimi i profilit që të është dhënë
Konfirmo më parë mënyrën nga ana e serverit, pastaj zgjidh profilin e klientit që përputhet me të. Testo me emrin e saktë të hostit dhe kredencialet e lëshuara për atë profil, dhe verifiko burimin privat, jo një sajt publik.
Nëse lidhet dhe asgjë nuk ngarkohet, tuneli po punon dhe rruga, DNS ose përzgjedhësi i trafikut nuk po punon. Ndryshimi i protokollit në atë pikë e nis diagnozën nga e para në vend që ta çojë përpara.