IKEv2 กับ L2TP/IPsec: เซิร์ฟเวอร์ของคุณใช้โปรไฟล์ไหน
ป้ายชื่อเดียวซ่อนสองสแตก ซ่อนความลับสามแบบ และพฤติกรรมที่ต่างกันเมื่อที่อยู่เปลี่ยน แยกชั้นให้ชัดก่อนเทียบเมนู
สองชื่อนี้วางเคียงกันในเมนูเดียวกัน ซึ่งชวนให้คิดว่าเลือกได้ระหว่างสองตัวที่เท่ากัน พวกมันไม่เท่ากัน L2TP เป็นโพรโทคอลอุโมงค์ที่ไม่มีการปกปิดข้อมูลในตัวเอง และการป้องกันในบริการ L2TP/IPsec มาจากชั้น IPsec ที่ห่อหุ้มมันไว้ ส่วน IKEv2 เจรจา IPsec แอสโซซิเอชันโดยตรงและไม่มีขั้นตอนอุโมงค์ซ้อนอุโมงค์ การรู้ว่าเซิร์ฟเวอร์ของคุณให้สแตกไหนจะกำหนดโปรไฟล์ ข้อความถาม และสิ่งที่เกิดขึ้นเมื่อแล็ปท็อปเปลี่ยนเครือข่าย
สองสแตก หนึ่งป้ายชื่อในไคลเอนต์
L2TP พาเซสชันแบบจุดต่อจุดผ่าน UDP ไปยังพอร์ต 1701 และปล่อยการเข้ารหัสให้ฝ่ายที่ห่อหุ้มมัน ถ้าจับคู่กับ IPsec คุณจะได้สองชั้น คือ IPsec แอสโซซิเอชันที่ปกป้องเส้นทาง และข้างในเป็นเซสชัน L2TP ที่พาเฟรมชั้นลิงก์ของผู้ใช้และการยืนยันตัวตน PPP
IKEv2 สร้างแอสโซซิเอชันควบคุมแล้วสร้างแอสโซซิเอชันลูกหนึ่งตัวหรือมากกว่าที่ปกป้องทราฟฟิก ทั้งหมดอยู่ในตระกูลการแลกเปลี่ยนเดียวบน UDP 500 และ 4500 ไม่มีโพรโทคอลอุโมงค์ภายในและไม่มีการเจรจา PPP
ข้อมูลรับรอง: ความลับสามอย่างบนสามชั้น
นี่คือจุดที่เวลาซัพพอร์ตหายไปมากที่สุด โปรไฟล์ L2TP/IPsec อาจขอคีย์ที่แชร์ล่วงหน้าสำหรับชั้น IPsec และชื่อผู้ใช้กับรหัสผ่านสำหรับเซสชัน PPP ข้างใน และทั้งสองอย่างถูกตรวจโดยองค์ประกอบที่ต่างกัน คีย์ที่แชร์กันเป็นของเกตเวย์ทั้งตัว จึงไม่ได้ระบุตัวใคร มันแค่พิสูจน์ว่าอีกฝ่ายรู้ความลับหนึ่งอย่าง
IKEv2 มักใช้ใบรับรอง หรือ EAP ที่มีชื่อผู้ใช้และรหัสผ่าน และยังใช้คีย์ที่แชร์ล่วงหน้าได้ด้วย ตัวเลือกเหล่านั้นใช้แทนคู่ L2TP ไม่ได้ การรีเซ็ตรหัสผ่านที่แก้ปัญหาการล็อกอิน EAP ที่ถูกปฏิเสธไม่ช่วยอะไรกับใบรับรองไคลเอนต์ที่หมดอายุ และไม่ว่าคุณจะพิมพ์รหัสผ่านบัญชีใหม่กี่ครั้งก็ไม่ทำให้คีย์เกตเวย์ที่ผิดถูกต้อง เมื่อมีข้อความถามโผล่ขึ้นมาที่คุณไม่ได้คาดไว้ ให้ถามผู้ดูแลว่าระบบนั้นอยู่ชั้นไหนก่อนจะเดา
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE เปลี่ยนอะไรและไม่เปลี่ยนอะไร
IKEv2 สามารถย้ายแอสโซซิเอชันไปยังที่อยู่ใหม่ได้เมื่อปลายทั้งสองข้างรองรับ MOBIKE ซึ่งครอบคลุมกรณีที่แล็ปท็อปออกจากไวไฟไปยังฮอตสปอตของโทรศัพท์โดยไม่ฉีกแอสโซซิเอชันความปลอดภัย
แต่มันไม่ได้ทำให้ทุกแอปพลิเคชันรอดชีวิตจากการย้ายนั้น โฟลว์การขนส่งยังเปลี่ยนที่อยู่ ซ็อกเก็ตที่ผูกกับที่อยู่เก่ายังพัง และนโยบายที่ปักทราฟฟิกไว้กับอินเทอร์เฟซก็ยังทำให้มันหลุดได้ ให้ทดสอบการเปลี่ยนผ่านที่คุณทำจริง ไม่ว่าจะเป็นการออกจากเครือข่าย การตื่นจากโหมดสลีป หรือการกลับมาหลังไม่ได้ใช้งานนาน และดูที่แอปพลิเคชันไม่ใช่ป้ายชื่อ Connected
รูปแบบความล้มเหลวที่แยกสองอย่างนี้ออก
โปรไฟล์ L2TP/IPsec ที่ไปถึงเกตเวย์แล้วหยุดมักล้มเหลวที่ข้อความถามหนึ่งในสองอย่าง คือคีย์ที่แชร์กันหรือข้อมูลรับรอง PPP คีย์ที่ผิดมักไม่แสดงอะไรที่เป็นประโยชน์ในบันทึกของไคลเอนต์ ขณะที่รหัสผ่านที่ผิดทำให้เกิดการปฏิเสธการยืนยันตัวตนอย่างชัดเจน และความต่างนี้บอกคุณว่าต้องไปดูที่ไหน
โปรไฟล์ IKEv2 ล้มเหลวเร็วกว่าและเสียงดังกว่าเมื่อตัวตนหรือใบรับรองผิด เพราะแอสโซซิเอชันควบคุมไม่เคยเสร็จ ถ้าแอสโซซิเอชันเสร็จแต่ทราฟฟิกยังล้มเหลว ปัญหาย้ายไปที่แอสโซซิเอชันลูก ตัวเลือกทราฟฟิก หรือเส้นทาง และการเปลี่ยนข้อมูลรับรองไม่ช่วยอะไร
แต่ละแบบยังเหมาะกับที่ไหน
L2TP/IPsec ยังอยู่เพราะมีในไคลเอนต์แทบทุกตัวและไม่ต้องติดตั้งซอฟต์แวร์เพิ่ม ซึ่งสำคัญสำหรับผู้รับจ้างบนอุปกรณ์ที่คุณไม่ได้ดูแล ราคาที่ต้องจ่ายคือชั้นที่เพิ่มขึ้น แบบจำลองความลับที่แชร์กัน และการเชื่อมต่อใหม่ทุกครั้งที่ที่อยู่เปลี่ยน
IKEv2 เหมาะกับอุปกรณ์ที่ถูกจัดการมากกว่า: ตัวตนจากใบรับรอง การเคลื่อนย้ายที่สะอาดกว่า และแอสโซซิเอชันตระกูลเดียวให้คิดถึง แต่มันก็ล้มเหลวหนักกว่าเมื่อไคลเอนต์เก่า ดังนั้นให้ตรวจวิธียืนยันตัวตนที่แพลตฟอร์มรองรับก่อนออกแบบโดยอิงมัน
ทดสอบโปรไฟล์ที่คุณได้รับ
ยืนยันโหมดจากฝั่งเซิร์ฟเวอร์ก่อน แล้วเลือกโปรไฟล์ไคลเอนต์ที่ตรงกับมัน ทดสอบด้วยชื่อโฮสต์และข้อมูลรับรองที่ออกให้สำหรับโปรไฟล์นั้นจริง ๆ และตรวจทรัพยากรภายในไม่ใช่เว็บไซต์สาธารณะ
ถ้ามันเชื่อมต่อได้แต่ไม่มีอะไรโหลด แปลว่าอุโมงค์ทำงาน แต่เส้นทาง DNS หรือตัวเลือกทราฟฟิกไม่ทำงาน การเปลี่ยนโพรโทคอล ณ จุดนั้นเป็นการเริ่มการวินิจฉัยใหม่แทนที่จะทำให้คืบหน้า