IKEv2 kontra L2TP/IPsec: vilken profil kör din server?
En enda etikett döljer två stackar, tre slags hemligheter och ett annat beteende när adressen ändras. Red ut lagren innan du jämför menyerna.
De två namnen står sida vid sida i samma rullgardinsmeny, vilket inbjuder till ett val mellan likvärdiga. De är inte likvärdiga. L2TP är ett tunnelprotokoll utan egen sekretess, och skyddet i en L2TP/IPsec-tjänst kommer från IPsec-lagret som omsluter det. IKEv2 förhandlar direkt en IPsec-association och har inget steg med tunnel i tunnel. Att veta vilken stack din server erbjuder avgör profilen, promptarna och vad som händer när laptopen byter nätverk.
Två stackar, en etikett i klienten
L2TP bär en punkt-till-punkt-session över UDP till port 1701 och lämnar krypteringen till den som omsluter den. Para ihop det med IPsec och du får två lager: en IPsec-association som skyddar vägen, och inuti den en L2TP-session som bär användarens länklagerramar och PPP-autentiseringen.
IKEv2 skapar en kontrollassociation och sedan en eller flera barnassociationer som skyddar trafiken, allt i en utbytesfamilj på UDP 500 och 4500. Det finns inget inre tunnelprotokoll och ingen PPP-förhandling.
Inloggningsuppgifter: tre hemligheter på tre lager
Det är här det mesta av supporttiden försvinner. En L2TP/IPsec-profil kan begära en fördelad nyckel för IPsec-lagret och ett användarnamn med lösenord för PPP-sessionen inuti, och de två kontrolleras av olika komponenter. Den delade nyckeln tillhör gatewayen som helhet, så den identifierar ingen; den bevisar bara att motparten känner till en hemlighet.
IKEv2 använder oftast certifikat, eller EAP med användarnamn och lösenord, och det kan även använda en fördelad nyckel. De alternativen går inte att byta ut mot L2TP-paret. En lösenordsåterställning som löser en avvisad EAP-inloggning gör inget för ett utgånget klientcertifikat, och hur många gånger du än skriver om kontots lösenord uppfyller det inte en felaktig gatewaynyckel. När en prompt dyker upp som du inte väntade dig, fråga driftsättaren vilket lager den hör till innan du gissar.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Vad MOBIKE ändrar, och vad det inte gör
IKEv2 kan flytta en association till en ny adress när båda ändpunkterna stöder MOBIKE, vilket täcker fallet att en laptop lämnar wifi för en telefonhotspot utan att riva säkerhetsassociationen.
Det håller inte varje program vid liv genom den flytten. Transportflödet byter fortfarande adress, sockets som är bundna till den gamla går fortfarande sönder, och en policy som låser trafiken till ett gränssnitt kan fortfarande tappa den. Testa den övergång du faktiskt gör, vare sig det är att lämna ett nätverk, vakna ur viloläge eller komma tillbaka efter en lång inaktivitetsperiod, och titta på programmet i stället för etiketten Ansluten.
Felformer som skiljer dem
En L2TP/IPsec-profil som når gatewayen och sedan stannar misslyckas oftast på en av två prompter: den delade nyckeln eller PPP-inloggningsuppgifterna. En felaktig nyckel visar vanligen inget användbart i en klientlogg, medan ett felaktigt lösenord ger en uttrycklig autentiseringsavvisning, och skillnaden säger dig var du ska leta.
En IKEv2-profil misslyckas tidigare och högre när identiteten eller certifikatet är fel, eftersom kontrollassociationen aldrig slutförs. Om associationen slutförs och trafiken fortfarande misslyckas har problemet flyttat till barnassociationen, trafikväljarna eller rutten, och ingen ändring av inloggningsuppgifter hjälper.
Var och en passar fortfarande
L2TP/IPsec finns kvar eftersom det finns på nästan varje klient och inte kräver extra programvara, vilket betyder något för en konsult på en enhet du inte hanterar. Priset är det extra lagret, modellen med delad hemlighet och en återanslutning efter varje adressändring.
IKEv2 passar hanterade enheter bättre: certifikatidentitet, renare mobilitet och en enda associationsfamilj att resonera om. Det misslyckas också hårdare när klienten är gammal, så kontrollera plattformens autentiseringsmetod som stöds innan du designar kring den.
Testa profilen du har fått
Bekräfta först läget på serversidan och välj sedan den klientprofil som matchar det. Testa med det exakta värdnamnet och de inloggningsuppgifter som utfärdats för den profilen, och verifiera den privata resursen i stället för en offentlig webbplats.
Om den ansluter och inget laddas fungerar tunneln och inte rutten, DNS:en eller trafikväljaren. Att byta protokoll då startar om diagnosen i stället för att föra den framåt.