IKEv2 yoki L2TP/IPsec: serveringiz qaysi profilni ishga tushiradi?
Bitta yorliq ikki stekni, uch xil sirni va manzil o‘zgarganda boshqacha xatti-harakatni yashiradi. Menyularni solishtirishdan oldin qatlamlarni ajrating.
Ikkala nom bir xil ochiluvchi ro‘yxatda yonma-yon turadi, bu esa teng ikki variantdan birini tanlashga chorlaydi. Ular teng emas. L2TP o‘z maxfiyligiga ega bo‘lmagan tunnel protokoli, L2TP/IPsec xizmatidagi himoya esa uni o‘rab turgan IPsec qatlamidan keladi. IKEv2 to‘g‘ridan-to‘g‘ri IPsec assotsiatsiyasini kelishadi va unda tunnel ichida tunnel bosqichi yo‘q. Serveringiz qaysi stekni taklif qilishini bilish profilni, so‘rovlarni va noutbuk tarmoqni almashtirganda nima bo‘lishini belgilaydi.
Ikki stek, mijozda bitta yorliq
L2TP UDP orqali 1701 portgacha nuqta-nuqtali sessiyani olib boradi va shifrlashni uni o‘rab turgan tomonga qoldiradi. Uni IPsec bilan juftlashtirsangiz, ikki qatlam olasiz: yo‘lni himoya qiluvchi IPsec assotsiatsiyasi va uning ichida foydalanuvchining bog‘lanish qatlami freymlarini hamda PPP autentifikatsiyasini olib yuruvchi L2TP sessiyasi.
IKEv2 boshqaruv assotsiatsiyasini, so‘ngra trafikni himoya qiluvchi bir yoki bir nechta bola assotsiatsiyalarni yaratadi, barchasi UDP 500 va 4500 da bitta almashinuv oilasida. Ichida tunnel protokoli yo‘q va PPP kelishuvi ham yo‘q.
Hisob ma’lumotlari: uch qatlamda uch sir
Aynan shu yerda yordam vaqtining ko‘p qismi ketadi. L2TP/IPsec profili IPsec qatlami uchun oldindan bo‘lishilgan kalitni va ichki PPP sessiyasi uchun foydalanuvchi nomi hamda parolni so‘rashi mumkin, ikkalasini ham turli komponentlar tekshiradi. Bo‘lishilgan kalit butun shlyuzga tegishli, shuning uchun u hech kimni aniqlamaydi; u faqat qarshi tomon sirni bilishini isbotlaydi.
IKEv2 odatda sertifikatlardan yoki foydalanuvchi nomi va parol bilan EAPdan foydalanadi, oldindan bo‘lishilgan kalitni ham ishlatishi mumkin. Bu variantlar L2TP juftligi bilan almashtirilmaydi. Rad etilgan EAP kirishini tuzatuvchi parolni tiklash muddati o‘tgan mijoz sertifikatiga hech narsa qilmaydi, hisob parolini necha marta yozsangiz ham noto‘g‘ri shlyuz kaliti qanoatlanmaydi. Kutilmagan so‘rov chiqsa, taxmin qilishdan oldin operator bilan u qaysi qatlamga tegishli ekanini so‘rang.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE nimani o‘zgartiradi, nimani o‘zgartirmaydi
Ikki uchi ham MOBIKE ni qo‘llab-quvvatlasa, IKEv2 assotsiatsiyani yangi manzilga ko‘chira oladi, bu noutbuk Wi-Fi dan chiqib telefon hotspotiga o‘tish holatini xavfsizlik assotsiatsiyasini buzmasdan qamrab oladi.
U bu ko‘chish davomida har bir dasturni tirik saqlamaydi. Transport oqimi baribir manzilni o‘zgartiradi, eski manzilga bog‘langan soketlar baribir uziladi, va trafikni interfeysga qadab qo‘yuvchi siyosat uni baribir tushirib yuborishi mumkin. O‘zingiz haqiqatda qiladigan o‘tishni, ya’ni tarmoqdan chiqish, uyqudan uyg‘onish yoki uzoq harakatsizlikdan keyin qaytishni sinab ko‘ring va Connected yorlig‘i o‘rniga dasturga qarang.
Ularni ajratadigan nosozlik shakllari
Shlyuzga yetib to‘xtab qoladigan L2TP/IPsec profili odatda ikki so‘rovdan birida muvaffaqiyatsiz bo‘ladi: bo‘lishilgan kalit yoki PPP hisob ma’lumotlari. Noto‘g‘ri kalit odatda mijoz jurnalida foydali hech narsa ko‘rsatmaydi, noto‘g‘ri parol esa aniq autentifikatsiya rad etishini keltirib chiqaradi, bu farq qayerdan qarash kerakligini aytadi.
Shaxs yoki sertifikat noto‘g‘ri bo‘lsa, IKEv2 profili ertaroq va balandroq muvaffaqiyatsiz bo‘ladi, chunki boshqaruv assotsiatsiyasi hech qachon tugamaydi. Assotsiatsiya tugab, trafik baribir muvaffaqiyatsiz bo‘lsa, muammo bola assotsiatsiyaga, trafik selektorlariga yoki yo‘lga o‘tgan, hech qanday hisob ma’lumoti o‘zgarishi yordam bermaydi.
Qaysi biri qayerda hali ham mos keladi
L2TP/IPsec saqlanib qolgan, chunki u deyarli har bir mijozda mavjud va qo‘shimcha dasturiy ta’minot talab qilmaydi, bu siz boshqarmaydigan qurilmada ishlaydigan pudratchi uchun muhim. Narxi — qo‘shimcha qatlam, bo‘lishilgan sir modeli va har manzil o‘zgarishidan keyin qayta ulanish.
Boshqariladigan qurilmalarga IKEv2 yaxshiroq mos keladi: sertifikat shaxsi, tozaroq harakatchanlik va o‘ylash uchun bitta assotsiatsiyalar oilasi. Mijoz eski bo‘lsa, u yanada qattiqroq muvaffaqiyatsiz bo‘ladi, shuning uchun uning atrofida loyihalashdan oldin platforma qo‘llab-quvvatlaydigan autentifikatsiya usulini tekshiring.
Sizga berilgan profilni sinash
Avval rejimni server tomonidan tasdiqlang, keyin unga mos mijoz profilini tanlang. O‘sha profil uchun berilgan aniq xost nomi va hisob ma’lumotlari bilan sinang, ommaviy sayt o‘rniga xususiy resursni tekshiring.
Agar ulanadi-yu hech narsa yuklanmasa, tunnel ishlayapti, yo‘l, DNS yoki trafik selektori ishlamayapti. O‘sha paytda protokolni almashtirish tashxisni oldinga surmaydi, balki qaytadan boshlaydi.