IKEv2 наспрам L2TP/IPsec: који профил ради на вашем серверу?
Једна ознака крије два слоја, три врсте тајне и другачије понашање кад се адреса промени. Размрсите слојеве пре него што упоредите меније.
Два назива појављују се један уз други у истом падајућем менију, што наводи на избор међу једнакима. Нису једнаки. L2TP је протокол тунелирања без сопствене поверљивости, а заштита у услузи L2TP/IPsec долази од слоја IPsec који га обавија. IKEv2 изравно преговара IPsec асоцијацију и нема корак тунела унутар тунела. Знати који слој ваш сервер нуди одређује профил, упите и оно што се догоди кад преносник промени мрежу.
Два слоја, једна ознака у клијенту
L2TP преноси сесију од тачке до тачке преко UDP-а на порт 1701 и препушта шифровање ономе који га обавија. Спојите га с IPsec и добијате два слоја: IPsec асоцијацију која штити пут и унутар ње L2TP сесију која преноси оквире слоја везе корисника и PPP аутентификацију.
IKEv2 ствара управљачку асоцијацију и затим једну или више подређених асоцијација које штите саобраћај, све у једној породици размена на UDP 500 и 4500. Нема унутрашњег протокола тунелирања ни PPP преговарања.
Акредитиви: три тајне на три слоја
Ту нестаје већина времена за подршку. Профил L2TP/IPsec може затражити унапред дељени кључ за слој IPsec и корисничко име с лозинком за унутрашњу PPP сесију, а обоје проверавају различите компоненте. Дељени кључ припада приступном пролазу као целини, па никога не идентификује; само доказује да друга страна познаје тајну.
IKEv2 обично користи сертификате или EAP с корисничким именом и лозинком, а може користити и унапред дељени кључ. Те могућности нису заменљиве с паром L2TP. Поновно постављање лозинке које поправља одбијену EAP пријаву не чини ништа за истекао сертификат клијента, и колико год пута изнова уписивали лозинку налога, погрешан кључ приступног пролаза тиме нећете задовољити. Кад се појави упит који нисте очекивали, питајте оператера којем слоју припада пре него што почнете да нагађате.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Шта MOBIKE мења, а шта не
IKEv2 може преместити асоцијацију на нову адресу кад оба краја подржавају MOBIKE, што покрива случај кад преносник напусти wifi и пређе на приступну тачку телефона без разградње безбедносне асоцијације.
Притом не одржава живом сваку апликацију. Транспортни ток ипак мења адресу, утичнице везане уз стару ипак се ломе, а правило које приквачује саобраћај на интерфејс ипак га може одбацити. Тестирајте прелаз који заиста изводите, било да напуштате мрежу, будите се из мировања или се враћате након дугог раздобља неактивности, и посматрајте апликацију, а не ознаку Повезано.
Облици квара који их раздвајају
Профил L2TP/IPsec који стигне до приступног пролаза и затим се заустави обично пада на једном од двају упита: дељеном кључу или PPP акредитивима. Погрешан кључ обично у записнику клијента не показује ништа корисно, док погрешна лозинка даје изричито одбијање аутентификације, а та разлика говори вам где тражити.
Профил IKEv2 пада раније и гласније кад су идентитет или сертификат погрешни, јер се управљачка асоцијација никад не довршава. Ако се асоцијација доврши, а саобраћај и даље не пролази, проблем се преселио у подређену асоцијацију, у селекторе саобраћаја или у руту, и никаква промена акредитива неће помоћи.
Где се сваки још уклапа
L2TP/IPsec се одржава јер је присутан на готово сваком клијенту и не треба додатну програмску опрему, што је важно за спољног извођача на уређају којим не управљате. Цена је додатни слој, модел дељене тајне и поновно повезивање након сваке промене адресе.
IKEv2 боље пристаје управљаним уређајима: идентитет путем сертификата, чишћа мобилност и једна породица асоцијација о којој треба размишљати. Такође пада тврђе кад је клијент стар, зато проверите подржану методу аутентификације платформе пре него што пројектујете око ње.
Тестирање профила који сте добили
Најпре потврдите начин на страни сервера, затим одаберите клијентски профил који му одговара. Тестирајте с тачним именом хоста и акредитивима издатим за тај профил и проверите приватни ресурс, а не јавно веб-место.
Ако се повеже и ништа се не учитава, тунел ради, а рута, DNS или селектор саобраћаја не. Промена протокола у том тренутку поново покреће дијагнозу уместо да је помери напред.