IKEv2 বনাম L2TP/IPsec: আপনার সার্ভার কোন প্রোফাইল চালায়?
একটি লেবেল দুটি স্ট্যাক, তিন ধরনের সিক্রেট আর ঠিকানা বদলালে ভিন্ন আচরণ লুকিয়ে রাখে। মেনু তুলনা করার আগে স্তরগুলো আলাদা করুন।
দুটি নাম একই ড্রপডাউনে পাশাপাশি দেখা যায়, যা সমান দুটি বিকল্পের মধ্যে বেছে নেওয়ার আমন্ত্রণ দেয়। তারা সমান নয়। L2TP হলো একটি টানেলিং প্রোটোকল যার নিজের কোনো গোপনীয়তা নেই, আর L2TP/IPsec পরিষেবার সুরক্ষা আসে তার চারপাশে মোড়া IPsec স্তর থেকে। IKEv2 সরাসরি একটি IPsec অ্যাসোসিয়েশন নেগোশিয়েট করে এবং এতে টানেলের ভেতরে টানেলের ধাপ নেই। আপনার সার্ভার কোন স্ট্যাক দেয় তা জানা প্রোফাইল, প্রম্পট এবং ল্যাপটপ নেটওয়ার্ক বদলালে কী হবে তা নির্ধারণ করে।
দুটি স্ট্যাক, ক্লায়েন্টে একটিই লেবেল
L2TP UDP-এর 1701 পোর্টে একটি পয়েন্ট-টু-পয়েন্ট সেশন বহন করে এবং এনক্রিপশনের দায়িত্ব যাকে দিয়ে মোড়ানো হয় তার উপর ছেড়ে দেয়। IPsec-এর সাথে জোড়া লাগালে দুটি স্তর পাওয়া যায়: পথ রক্ষা করা একটি IPsec অ্যাসোসিয়েশন, আর তার ভেতরে ব্যবহারকারীর লিংক-লেয়ার ফ্রেম ও PPP প্রমাণীকরণ বহন করা একটি L2TP সেশন।
IKEv2 একটি কন্ট্রোল অ্যাসোসিয়েশন তৈরি করে, তারপর ট্রাফিক রক্ষা করা এক বা একাধিক চাইল্ড অ্যাসোসিয়েশন, সবই UDP 500 ও 4500-এ একই এক্সচেঞ্জ পরিবারে। এতে কোনো ভেতরের টানেলিং প্রোটোকল নেই এবং PPP নেগোশিয়েশনও নেই।
ক্রেডেনশিয়াল: তিন স্তরে তিনটি সিক্রেট
এখানেই বেশিরভাগ সাপোর্ট সময় হারিয়ে যায়। একটি L2TP/IPsec প্রোফাইল IPsec স্তরের জন্য প্রি-শেয়ার্ড কী এবং ভেতরের PPP সেশনের জন্য ব্যবহারকারীনাম ও পাসওয়ার্ড চাইতে পারে, আর দুটিই ভিন্ন উপাদান যাচাই করে। শেয়ার্ড কী পুরো গেটওয়ের, তাই এটি কাউকে চিহ্নিত করে না; এটি কেবল প্রমাণ করে যে প্রতিপক্ষ একটি সিক্রেট জানে।
IKEv2 সাধারণত সার্টিফিকেট, বা ব্যবহারকারীনাম ও পাসওয়ার্ডসহ EAP ব্যবহার করে, এবং প্রি-শেয়ার্ড কী-ও ব্যবহার করতে পারে। এই বিকল্পগুলো L2TP-এর জোড়ার সাথে বিনিময়যোগ্য নয়। যে পাসওয়ার্ড রিসেট একটি প্রত্যাখ্যাত EAP লগইন ঠিক করে, তা মেয়াদোত্তীর্ণ ক্লায়েন্ট সার্টিফিকেটের জন্য কিছুই করে না, আর অ্যাকাউন্টের পাসওয়ার্ড যতবারই লেখা হোক ভুল গেটওয়ে কী মিটবে না। অপ্রত্যাশিত কোনো প্রম্পট এলে অনুমান করার আগে অপারেটরকে জিজ্ঞাসা করুন সেটি কোন স্তরের।
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE কী বদলায়, আর কী বদলায় না
IKEv2 একটি অ্যাসোসিয়েশনকে নতুন ঠিকানায় সরাতে পারে যখন দুই প্রান্তই MOBIKE সমর্থন করে, যা ল্যাপটপের ওয়াই-ফাই ছেড়ে ফোনের হটস্পটে যাওয়ার সময় সিকিউরিটি অ্যাসোসিয়েশন ভেঙে না ফেলার কেসটি কভার করে।
এটি ওই স্থানান্তরে প্রতিটি অ্যাপ্লিকেশন সচল রাখে না। ট্রান্সপোর্ট ফ্লো তবুও ঠিকানা বদলায়, পুরোনো ঠিকানায় বাঁধা সকেট তবুও ভাঙে, আর কোনো ইন্টারফেসে ট্রাফিক পিন করা পলিসি তবুও তা ফেলে দিতে পারে। বাস্তবে আপনি যে রূপান্তরটি করেন—নেটওয়ার্ক ছাড়া, ঘুম থেকে ওঠা বা দীর্ঘ নিষ্ক্রিয়তার পর ফেরা—সেটিই পরীক্ষা করুন এবং Connected লেবেলের বদলে অ্যাপ্লিকেশনটি দেখুন।
ব্যর্থতার যে ধরনগুলো তাদের আলাদা করে
গেটওয়েতে পৌঁছে থেমে যাওয়া একটি L2TP/IPsec প্রোফাইল সাধারণত দুটি প্রম্পটের একটিতে ব্যর্থ হয়: শেয়ার্ড কী বা PPP ক্রেডেনশিয়াল। ভুল কী সাধারণত ক্লায়েন্ট লগে কাজের মতো কিছু দেখায় না, আর ভুল পাসওয়ার্ড স্পষ্ট প্রমাণীকরণ প্রত্যাখ্যান তৈরি করে, এবং এই পার্থক্যই বলে দেয় কোথায় দেখবেন।
পরিচয় বা সার্টিফিকেট ভুল হলে একটি IKEv2 প্রোফাইল আরও আগে ও আরও জোরে ব্যর্থ হয়, কারণ কন্ট্রোল অ্যাসোসিয়েশন কখনো সম্পূর্ণ হয় না। অ্যাসোসিয়েশন সম্পূর্ণ হওয়ার পরও ট্রাফিক ব্যর্থ হলে সমস্যাটি চাইল্ড অ্যাসোসিয়েশন, ট্রাফিক সিলেক্টর বা রুটে সরে গেছে, আর কোনো ক্রেডেনশিয়াল বদল সেখানে সাহায্য করবে না।
কোথায় কোনটি এখনো মানায়
L2TP/IPsec টিকে আছে কারণ এটি প্রায় প্রতিটি ক্লায়েন্টে উপস্থিত এবং অতিরিক্ত সফটওয়্যার লাগে না, যা এমন ডিভাইসে কাজ করা ঠিকাদারের জন্য গুরুত্বপূর্ণ যা আপনি পরিচালনা করেন না। খরচ হলো অতিরিক্ত স্তর, শেয়ার্ড-সিক্রেট মডেল এবং প্রতিটি ঠিকানা বদলের পর পুনঃসংযোগ।
পরিচালিত ডিভাইসে IKEv2 বেশি মানায়: সার্টিফিকেট পরিচয়, পরিষ্কার মোবিলিটি, আর যুক্তি করার জন্য একটিই অ্যাসোসিয়েশন পরিবার। ক্লায়েন্ট পুরোনো হলে এটি আরও কঠিনভাবে ব্যর্থ হয়, তাই এটিকে ঘিরে ডিজাইন করার আগে প্ল্যাটফর্মের সমর্থিত প্রমাণীকরণ পদ্ধতি দেখে নিন।
আপনাকে দেওয়া প্রোফাইলটি পরীক্ষা করা
প্রথমে সার্ভারের দিক থেকে মোড নিশ্চিত করুন, তারপর তার সাথে মেলে এমন ক্লায়েন্ট প্রোফাইল বেছে নিন। ওই প্রোফাইলের জন্য দেওয়া নির্দিষ্ট হোস্টনেম ও ক্রেডেনশিয়াল দিয়ে পরীক্ষা করুন, এবং পাবলিক সাইটের বদলে প্রাইভেট রিসোর্স যাচাই করুন।
যদি সংযোগ হয় কিন্তু কিছু লোড না হয়, তবে টানেল কাজ করছে আর রুট, DNS বা ট্রাফিক সিলেক্টর করছে না। সেই মুহূর্তে প্রোটোকল বদলালে রোগনির্ণয় এগোয় না, বরং নতুন করে শুরু হয়।