IKEv2 và L2TP/IPsec: máy chủ của bạn chạy cấu hình nào?
Một nhãn che giấu hai ngăn xếp, ba loại bí mật và hành vi khác nhau khi địa chỉ thay đổi. Hãy gỡ rối các lớp trước khi so sánh các menu.
Hai cái tên nằm cạnh nhau trong cùng một menu thả xuống, khiến ta tưởng phải chọn giữa hai thứ ngang nhau. Chúng không ngang nhau. L2TP là giao thức đường hầm không tự có tính bí mật, và sự bảo vệ trong một dịch vụ L2TP/IPsec đến từ lớp IPsec bọc quanh nó. IKEv2 thương lượng trực tiếp một liên kết IPsec và không có bước đường hầm trong đường hầm. Biết máy chủ của bạn cung cấp ngăn xếp nào sẽ quyết định cấu hình, các lời nhắc và điều gì xảy ra khi máy tính xách tay đổi mạng.
Hai ngăn xếp, một nhãn trong ứng dụng khách
L2TP mang một phiên điểm-đến-điểm qua UDP tới cổng 1701 và để việc mã hóa cho bên bọc nó. Ghép nó với IPsec và bạn có hai lớp: một liên kết IPsec bảo vệ đường đi, và bên trong là một phiên L2TP mang khung lớp liên kết của người dùng và xác thực PPP.
IKEv2 tạo một liên kết điều khiển rồi một hoặc nhiều liên kết con bảo vệ lưu lượng, tất cả trong một họ trao đổi trên UDP 500 và 4500. Không có giao thức đường hầm bên trong và không có thương lượng PPP.
Thông tin đăng nhập: ba bí mật trên ba lớp
Đây là nơi phần lớn thời gian hỗ trợ biến mất. Một cấu hình L2TP/IPsec có thể yêu cầu khóa chia sẻ trước cho lớp IPsec và tên người dùng kèm mật khẩu cho phiên PPP bên trong, và hai thứ đó do các thành phần khác nhau kiểm tra. Khóa chia sẻ thuộc về toàn bộ cổng nối, nên nó không nhận diện ai cả; nó chỉ chứng minh phía bên kia biết một bí mật.
IKEv2 thường dùng chứng chỉ, hoặc EAP với tên người dùng và mật khẩu, và cũng có thể dùng khóa chia sẻ trước. Những lựa chọn đó không thể hoán đổi với cặp L2TP. Việc đặt lại mật khẩu chữa được một lần đăng nhập EAP bị từ chối không làm gì cho chứng chỉ máy khách đã hết hạn, và dù bạn có gõ lại mật khẩu tài khoản bao nhiêu lần thì cũng không thỏa mãn được một khóa cổng nối sai. Khi xuất hiện một lời nhắc mà bạn không lường trước, hãy hỏi nhà vận hành xem nó thuộc lớp nào trước khi đoán.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE thay đổi điều gì và không thay đổi điều gì
IKEv2 có thể chuyển một liên kết sang địa chỉ mới khi cả hai đầu hỗ trợ MOBIKE, điều này bao trùm trường hợp máy tính xách tay rời wifi sang điểm phát sóng của điện thoại mà không phá bỏ liên kết bảo mật.
Nó không giữ mọi ứng dụng sống qua lần chuyển đó. Luồng vận chuyển vẫn đổi địa chỉ, các socket gắn với địa chỉ cũ vẫn hỏng, và một chính sách ghim lưu lượng vào một giao diện vẫn có thể làm rơi nó. Hãy thử đúng quá trình chuyển mà bạn thực hiện, dù là rời mạng, thức dậy sau khi ngủ hay quay lại sau thời gian dài không hoạt động, và hãy nhìn vào ứng dụng thay vì nhãn Đã kết nối.
Các dạng lỗi phân biệt hai bên
Một cấu hình L2TP/IPsec đến được cổng nối rồi dừng lại thường thất bại ở một trong hai lời nhắc: khóa chia sẻ hoặc thông tin PPP. Khóa sai thường không cho thấy gì hữu ích trong nhật ký máy khách, trong khi mật khẩu sai tạo ra sự từ chối xác thực rõ ràng, và khác biệt đó cho bạn biết nên tìm ở đâu.
Một cấu hình IKEv2 thất bại sớm hơn và ồn ào hơn khi danh tính hoặc chứng chỉ sai, vì liên kết điều khiển không bao giờ hoàn tất. Nếu liên kết hoàn tất mà lưu lượng vẫn hỏng, vấn đề đã chuyển sang liên kết con, các bộ chọn lưu lượng hoặc tuyến đường, và không thay đổi thông tin đăng nhập nào giúp được.
Mỗi loại còn phù hợp ở đâu
L2TP/IPsec tồn tại vì nó có trên gần như mọi máy khách và không cần thêm phần mềm, điều này quan trọng với một nhà thầu trên thiết bị bạn không quản lý. Cái giá là lớp thêm, mô hình bí mật chia sẻ và việc kết nối lại sau mỗi lần đổi địa chỉ.
IKEv2 phù hợp hơn với thiết bị được quản lý: danh tính bằng chứng chỉ, tính di động sạch hơn và một họ liên kết để suy nghĩ. Nó cũng thất bại nặng hơn khi máy khách cũ, nên hãy kiểm tra phương thức xác thực mà nền tảng hỗ trợ trước khi thiết kế quanh nó.
Kiểm tra cấu hình bạn được cấp
Hãy xác nhận chế độ từ phía máy chủ trước, rồi chọn cấu hình máy khách khớp với nó. Kiểm tra bằng đúng tên máy chủ và thông tin đăng nhập được cấp cho cấu hình đó, và xác minh tài nguyên riêng tư thay vì một trang công khai.
Nếu nó kết nối mà không tải được gì, đường hầm đang hoạt động còn tuyến đường, DNS hoặc bộ chọn lưu lượng thì không. Đổi giao thức lúc đó sẽ khởi động lại chẩn đoán thay vì đẩy nó tiến lên.