IKEv2 સામે L2TP/IPsec: તમારો સર્વર કઈ પ્રોફાઇલ ચલાવે છે?
એક લેબલ બે સ્ટેક, ત્રણ પ્રકારના સિક્રેટ અને સરનામું બદલાય ત્યારે અલગ વર્તન છુપાવે છે. મેનુની તુલના કરતા પહેલા સ્તરો જુદા પાડો.
બંને નામ એક જ ડ્રોપડાઉનમાં સાથે દેખાય છે, જે સમાન બે વિકલ્પો વચ્ચે પસંદગીનું આમંત્રણ આપે છે. તેઓ સમાન નથી. L2TP એક ટનલિંગ પ્રોટોકોલ છે જેની પોતાની કોઈ ગોપનીયતા નથી, અને L2TP/IPsec સેવામાં રક્ષણ તેની ફરતે લપેટાયેલા IPsec સ્તરમાંથી આવે છે. IKEv2 સીધું IPsec એસોસિએશન પર વાટાઘાટ કરે છે અને તેમાં ટનલની અંદર ટનલનું પગલું નથી. તમારો સર્વર કયો સ્ટેક આપે છે તે જાણવાથી પ્રોફાઇલ, પ્રોમ્પ્ટ અને લેપટોપ નેટવર્ક બદલે ત્યારે શું થાય તે નક્કી થાય છે.
બે સ્ટેક, ક્લાયન્ટમાં એક જ લેબલ
L2TP UDP પર 1701 પોર્ટ સુધી પોઇન્ટ-ટુ-પોઇન્ટ સેશન લઈ જાય છે અને એન્ક્રિપ્શન જે તેને લપેટે તેના પર છોડી દે છે. IPsec સાથે જોડો તો બે સ્તર મળે: પથનું રક્ષણ કરતું IPsec એસોસિએશન, અને તેની અંદર વપરાશકર્તાના લિંક-લેયર ફ્રેમ અને PPP પ્રમાણીકરણ લઈ જતું L2TP સેશન.
IKEv2 એક કંટ્રોલ એસોસિએશન બનાવે છે અને પછી ટ્રાફિકનું રક્ષણ કરતું એક કે વધુ ચાઇલ્ડ એસોસિએશન, બધું UDP 500 અને 4500 પર એક જ એક્સચેન્જ કુટુંબમાં. અંદર કોઈ ટનલિંગ પ્રોટોકોલ નથી અને PPP વાટાઘાટ પણ નથી.
ક્રેડેન્શિયલ: ત્રણ સ્તર પર ત્રણ સિક્રેટ
અહીં જ મોટા ભાગનો સપોર્ટ સમય વપરાઈ જાય છે. L2TP/IPsec પ્રોફાઇલ IPsec સ્તર માટે પ્રી-શેર્ડ કી અને અંદરના PPP સેશન માટે વપરાશકર્તાનામ સાથે પાસવર્ડ માંગી શકે છે, અને બંને અલગ ઘટકો તપાસે છે. શેર્ડ કી આખા ગેટવેની છે, તેથી તે કોઈને ઓળખતી નથી; તે ફક્ત સાબિત કરે છે કે સામેનો પક્ષ એક સિક્રેટ જાણે છે.
IKEv2 સામાન્ય રીતે સર્ટિફિકેટ, અથવા વપરાશકર્તાનામ અને પાસવર્ડ સાથે EAP વાપરે છે, અને પ્રી-શેર્ડ કી પણ વાપરી શકે છે. એ વિકલ્પો L2TPની જોડ સાથે અદલાબદલી કરી શકાય તેવા નથી. નકારાયેલ EAP લોગિન સુધારતો પાસવર્ડ રીસેટ સમય પૂરો થયેલા ક્લાયન્ટ સર્ટિફિકેટ માટે કંઈ કરતો નથી, અને એકાઉન્ટનો પાસવર્ડ ગમે તેટલી વાર લખો તોપણ ખોટી ગેટવે કી સંતોષાતી નથી. અણધારી પ્રોમ્પ્ટ આવે તો અનુમાન કરતા પહેલા ઓપરેટરને પૂછો કે તે કયા સ્તરની છે.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE શું બદલે છે અને શું નહીં
બંને છેડા MOBIKE ને સમર્થન આપે ત્યારે IKEv2 એસોસિયેશનને નવા સરનામે ખસેડી શકે છે, જે લેપટોપ વાઇ-ફાઇ છોડીને ફોનના હોટસ્પોટ પર જાય ત્યારે સિક્યોરિટી એસોસિયેશન તોડ્યા વિના કેસને આવરી લે છે.
તે એ ખસેડવામાં દરેક એપ્લિકેશનને જીવતી રાખતું નથી. ટ્રાન્સપોર્ટ ફ્લો તો સરનામું બદલે જ છે, જૂના સરનામે બંધાયેલા સોકેટ તૂટે જ છે, અને ઇન્ટરફેસ પર ટ્રાફિક પિન કરતી નીતિ તેને ખસેડી પણ શકે છે. તમે ખરેખર જે સંક્રમણ કરો છો—નેટવર્ક છોડવું, ઊંઘમાંથી જાગવું કે લાંબા નિષ્ક્રિય સમય પછી પાછા આવવું—તેનું પરીક્ષણ કરો અને Connected લેબલને બદલે એપ્લિકેશન જુઓ.
નિષ્ફળતાના એ આકારો જે તેમને અલગ પાડે છે
ગેટવે સુધી પહોંચીને અટકી જતી L2TP/IPsec પ્રોફાઇલ સામાન્ય રીતે બે પ્રોમ્પ્ટમાંથી એકમાં નિષ્ફળ જાય છે: શેર્ડ કી અથવા PPP ક્રેડેન્શિયલ. ખોટી કી સામાન્ય રીતે ક્લાયન્ટ લોગમાં ઉપયોગી કંઈ દેખાડતી નથી, જ્યારે ખોટો પાસવર્ડ સ્પષ્ટ પ્રમાણીકરણ નકાર ઉત્પન્ન કરે છે, અને એ ફરક જ કહે છે કે ક્યાં જોવું.
ઓળખ કે સર્ટિફિકેટ ખોટું હોય ત્યારે IKEv2 પ્રોફાઇલ વહેલું અને વધુ જોરથી નિષ્ફળ જાય છે, કારણ કે કંટ્રોલ એસોસિયેશન ક્યારેય પૂરું થતું નથી. એસોસિયેશન પૂરું થાય અને ટ્રાફિક તો પણ નિષ્ફળ જાય, તો સમસ્યા ચાઇલ્ડ એસોસિયેશન, ટ્રાફિક સિલેક્ટર કે રૂટ સુધી ખસી ગઈ છે, અને કોઈ ક્રેડેન્શિયલ બદલવાથી મદદ નહીં મળે.
ક્યાં કયું હજી ફાવે છે
L2TP/IPsec ટકી રહ્યું છે કારણ કે તે લગભગ દરેક ક્લાયન્ટ પર હાજર છે અને વધારાના સોફ્ટવેરની જરૂર નથી, જે એ ડિવાઇસ પર કામ કરતા કોન્ટ્રાક્ટર માટે મહત્વનું છે જે તમે સંભાળતા નથી. કિંમત છે વધારાનું સ્તર, શેર્ડ-સિક્રેટ મોડલ અને દરેક સરનામા બદલા પછી ફરી જોડાવું.
IKEv2 સંચાલિત ડિવાઇસમાં વધુ ફાવે છે: સર્ટિફિકેટ ઓળખ, સ્વચ્છ મોબિલિટી, અને વિચારવા માટે એક જ એસોસિયેશન કુટુંબ. ક્લાયન્ટ જૂનું હોય તો તે વધુ સખત નિષ્ફળ પણ જાય છે, તેથી તેની આસપાસ ડિઝાઇન કરતા પહેલા પ્લેટફોર્મની સમર્થિત પ્રમાણીકરણ પદ્ધતિ તપાસો.
તમને આપેલી પ્રોફાઇલ ચકાસવી
પહેલા સર્વરની બાજુથી મોડ નિશ્ચિત કરો, પછી તેની સાથે મેળ ખાતી ક્લાયન્ટ પ્રોફાઇલ પસંદ કરો. એ પ્રોફાઇલ માટે આપેલા ચોક્કસ હોસ્ટનામ અને ક્રેડેન્શિયલ સાથે પરીક્ષણ કરો, અને સાર્વજનિક સાઇટને બદલે ખાનગી સ્રોત ચકાસો.
જો જોડાય છે પણ કંઈ લોડ થતું નથી, તો ટનલ કામ કરે છે અને રૂટ, DNS કે ટ્રાફિક સિલેક્ટર કામ કરતું નથી. એ સમયે પ્રોટોકોલ બદલવાથી નિદાન આગળ નહીં વધે, ફરી શરૂ થાય.