IKEv2 kumpara sa L2TP/IPsec: aling profile ang pinapatakbo ng server mo?
Isang label ang nagtatago ng dalawang stack, tatlong uri ng sikreto at ibang gawi kapag nagbago ang address. Aysuin ang mga layer bago ihambing ang mga menu.
Magkatabi ang dalawang pangalan sa parehong dropdown, na nag-aanyaya ng pagpili sa pagitan ng magkatulad. Hindi sila magkatulad. L2TP ay isang protocol ng tunneling na walang sariling pagiging kompidensyal, at ang proteksyon sa isang serbisyong L2TP/IPsec ay nagmumula sa IPsec layer na bumabalot dito. Direktang nakikipagnegosasyon ang IKEv2 ng isang IPsec association at wala itong hakbang na tunnel sa loob ng tunnel. Ang pag-alam kung aling stack ang inaalok ng server mo ang nagtatakda ng profile, ng mga prompt at ng mangyayari kapag nagpalit ng network ang laptop.
Dalawang stack, isang label sa kliyente
Nagdadala ang L2TP ng session na punto-sa-punto sa UDP patungong port 1701 at iniiwan ang encryption sa kung sino man ang bumabalot dito. Ipares ito sa IPsec at makakakuha ka ng dalawang layer: isang IPsec association na nagpoprotekta sa landas, at sa loob nito isang L2TP session na nagdadala ng link-layer frames ng gumagamit at ng PPP authentication.
Gumagawa ang IKEv2 ng control association at pagkatapos ng isa o higit pang child association na nagpoprotekta sa trapiko, lahat sa isang pamilya ng palitan sa UDP 500 at 4500. Walang panloob na protocol ng tunneling at walang PPP negotiation.
Mga kredensyal: tatlong sikreto sa tatlong layer
Dito nawawala ang karamihan ng oras ng suporta. Maaaring humingi ang isang L2TP/IPsec profile ng pre-shared key para sa IPsec layer at username na may password para sa PPP session sa loob, at iba't ibang component ang nagche-check sa dalawa. Ang shared key ay pag-aari ng gateway sa kabuuan, kaya wala itong tinutukoy na tao; pinapatunayan lang nito na may alam na sikreto ang kabilang panig.
Kadalasang gumagamit ang IKEv2 ng mga certificate, o EAP na may username at password, at maaari rin itong gumamit ng pre-shared key. Hindi mapapalitan ang mga opsyong iyon ng L2TP pair. Ang pag-reset ng password na nag-aayos ng tinanggihang EAP login ay walang ginagawa para sa isang nag-expire na client certificate, at kahit gaano kadalas mong i-type muli ang password ng account, hindi nito masasapatan ang maling gateway key. Kapag may lumabas na prompt na hindi mo inaasahan, tanungin ang operator kung aling layer ito nabibilang bago maghula.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
Ano ang binabago ng MOBIKE, at ano ang hindi
Maaaring ilipat ng IKEv2 ang isang association sa bagong address kapag sinusuportahan ng dalawang dulo ang MOBIKE, na sumasaklaw sa kaso ng laptop na umaalis sa wifi patungo sa hotspot ng telepono nang hindi binubuwag ang security association.
Hindi nito pinapanatiling buhay ang bawat application sa paglipat na iyon. Nagbabago pa rin ng address ang transport flow, nasisira pa rin ang mga socket na nakakabit sa luma, at ang isang patakarang nagtatakda ng trapiko sa isang interface ay maaari pa ring magpabagsak nito. Subukan ang transition na aktwal mong ginagawa, maging pag-alis sa network, paggising mula sa tulog o pagbabalik pagkatapos ng mahabang idle, at panoorin ang application sa halip na ang label na Konektado.
Mga anyo ng pagkabigo na naghihiwalay sa kanila
Ang isang L2TP/IPsec profile na nakarating sa gateway at pagkatapos ay huminto ay karaniwang nabibigo sa isa sa dalawang prompt: ang shared key o ang PPP credentials. Ang maling key ay karaniwang walang ipinapakitang kapaki-pakinabang sa log ng kliyente, samantalang ang maling password ay gumagawa ng tahasang pagtanggi sa authentication, at ang pagkakaibang iyon ang nagsasabi sa iyo kung saan titingin.
Ang isang IKEv2 profile ay nabibigo nang mas maaga at mas malakas kapag mali ang identity o certificate, dahil hindi kailanman natatapos ang control association. Kung natapos ang association at nabibigo pa rin ang trapiko, lumipat na ang problema sa child association, sa traffic selectors o sa ruta, at walang pagbabago sa kredensyal ang makakatulong.
Saan pa bagay ang bawat isa
Nagpapatuloy ang L2TP/IPsec dahil naroon ito sa halos lahat ng kliyente at hindi nangangailangan ng karagdagang software, na mahalaga para sa isang kontraktor sa device na hindi mo pinamamahalaan. Ang halaga ay ang dagdag na layer, ang modelo ng shared secret at ang muling pagkonekta pagkatapos ng bawat pagbabago ng address.
Mas bagay ang IKEv2 sa mga pinamamahalaang device: identity sa pamamagitan ng certificate, mas malinis na mobility at isang pamilya ng association na iisipin. Mas mahirap din itong mabigo kapag luma na ang kliyente, kaya tingnan ang sinusuportahang paraan ng authentication ng platform bago magdisenyo sa paligid nito.
Subukan ang profile na ibinigay sa iyo
Tiyakin muna ang mode mula sa panig ng server, pagkatapos piliin ang client profile na tumutugma dito. Subukan gamit ang eksaktong hostname at kredensyal na ibinigay para sa profile na iyon, at i-verify ang pribadong resource sa halip na isang pampublikong site.
Kung kumokonekta ito at walang naglo-load, gumagana ang tunnel at hindi ang ruta, DNS o traffic selector. Ang pagpalit ng protocol sa puntong iyon ay nagpapanimula muli ng diagnosis sa halip na isulong ito.