IKEv2 ile L2TP/IPsec: sunucunuz hangi profili çalıştırıyor?
Tek bir etiket iki yığını, üç tür sırrı ve adres değiştiğinde farklı davranışı saklıyor. Menüleri karşılaştırmadan önce katmanları ayırın.
İki ad aynı açılır listede yan yana durur, bu da eşitler arasında bir seçim izlenimi verir. Eşit değiller. L2TP kendi gizliliği olmayan bir tünelleme protokolüdür ve bir L2TP/IPsec hizmetindeki koruma onu saran IPsec katmanından gelir. IKEv2 doğrudan bir IPsec ilişkisi pazarlık eder ve tünel içinde tünel adımı yoktur. Sunucunuzun hangi yığını sunduğunu bilmek profili, istemleri ve dizüstü bilgisayar ağ değiştirdiğinde ne olacağını belirler.
İki yığın, istemcide tek etiket
L2TP, UDP üzerinden 1701 numaralı bağlantı noktasına uçtan uca bir oturum taşır ve şifrelemeyi onu saran tarafa bırakır. IPsec ile eşleştirin ve iki katman elde edin: yolu koruyan bir IPsec ilişkisi ve içinde kullanıcının bağlantı katmanı çerçevelerini ve PPP kimlik doğrulamasını taşıyan bir L2TP oturumu.
IKEv2 bir denetim ilişkisi ve ardından trafiği koruyan bir veya daha fazla alt ilişki oluşturur; hepsi UDP 500 ve 4500 üzerinde tek bir alışveriş ailesinde. İç tünelleme protokolü ve PPP pazarlığı yoktur.
Kimlik bilgileri: üç katmanda üç sır
Destek süresinin çoğu burada kaybolur. Bir L2TP/IPsec profili IPsec katmanı için önceden paylaşılan bir anahtar ve içerideki PPP oturumu için kullanıcı adıyla parola isteyebilir ve ikisi farklı bileşenlerce denetlenir. Paylaşılan anahtar bir bütün olarak ağ geçidine aittir, bu yüzden kimseyi tanımlamaz; yalnızca karşı tarafın bir sır bildiğini kanıtlar.
IKEv2 genellikle sertifikaları ya da kullanıcı adı ve parolayla EAP'yi kullanır ve önceden paylaşılan bir anahtarı da kullanabilir. Bu seçenekler L2TP ikilisiyle değiştirilebilir değildir. Reddedilen bir EAP oturum açmasını düzelten parola sıfırlama, süresi dolmuş bir istemci sertifikası için hiçbir şey yapmaz ve hesap parolasını kaç kez yeniden yazsanız da yanlış bir ağ geçidi anahtarını tatmin etmezsiniz. Beklemediğiniz bir istem çıktığında, tahmin etmeden önce operatöre hangi katmana ait olduğunu sorun.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE neyi değiştirir, neyi değiştirmez
IKEv2, iki uç da MOBIKE desteklediğinde bir ilişkiyi yeni bir adrese taşıyabilir; bu, bir dizüstü bilgisayarın güvenlik ilişkisini sökmeden wifi'den telefon hotspot'una geçmesi durumunu kapsar.
Bu taşınma sırasında her uygulamayı canlı tutmaz. Taşıma akışı yine de adres değiştirir, eski adrese bağlı soketler yine de kopar ve trafiği bir arayüze sabitleyen bir ilke onu yine de düşürebilir. Gerçekte yaptığınız geçişi sınayın; ister ağdan çıkmak, ister uykudan uyanmak, ister uzun bir hareketsizlikten sonra dönmek olsun, ve Bağlandı etiketine değil uygulamaya bakın.
Onları ayıran arıza biçimleri
Ağ geçidine ulaşıp duran bir L2TP/IPsec profili genellikle iki istemden birinde başarısız olur: paylaşılan anahtar veya PPP kimlik bilgileri. Yanlış anahtar istemci günlüğünde genellikle işe yarar bir şey göstermez, oysa yanlış parola açık bir kimlik doğrulama reddi üretir ve bu fark size nereye bakacağınızı söyler.
Bir IKEv2 profili, kimlik veya sertifika yanlış olduğunda daha erken ve daha yüksek sesle başarısız olur, çünkü denetim ilişkisi hiç tamamlanmaz. İlişki tamamlanır ve trafik yine de başarısız olursa sorun alt ilişkiye, trafik seçicilerine veya yola taşınmıştır ve hiçbir kimlik bilgisi değişikliği yardımcı olmaz.
Her biri hâlâ nereye uyar
L2TP/IPsec, neredeyse her istemcide bulunduğu ve ek yazılım gerektirmediği için sürer; bu, yönetmediğiniz bir cihazdaki bir yüklenici için önemlidir. Bedeli ek katman, paylaşılan sır modeli ve her adres değişikliğinden sonra yeniden bağlanmadır.
IKEv2 yönetilen cihazlara daha iyi uyar: sertifika kimliği, daha temiz hareketlilik ve üzerinde düşünülecek tek bir ilişki ailesi. İstemci eski olduğunda da daha sert başarısız olur, bu yüzden etrafında tasarım yapmadan önce platformun desteklediği kimlik doğrulama yöntemini denetleyin.
Size verilen profili sınamak
Önce sunucu tarafındaki kipi doğrulayın, sonra ona uyan istemci profilini seçin. O profil için verilen tam ana bilgisayar adı ve kimlik bilgileriyle sınayın ve genel bir site yerine özel kaynağı doğrulayın.
Bağlanıyor ve hiçbir şey yüklenmiyorsa tünel çalışıyor, yol, DNS veya trafik seçici çalışmıyordur. O noktada protokolü değiştirmek tanılamayı ilerletmek yerine yeniden başlatır.