IKEv2 बनाम L2TP/IPsec: आपका सर्वर कौन-सा प्रोफ़ाइल चलाता है?
एक लेबल दो स्टैक, तीन तरह के सीक्रेट और पता बदलने पर अलग व्यवहार छिपाता है। मेन्यू की तुलना करने से पहले परतें अलग करें।
दोनों नाम एक ही ड्रॉपडाउन में साथ-साथ दिखते हैं, जो बराबर वाले दो विकल्पों में चुनने का न्योता देता है। वे बराबर नहीं हैं। L2TP एक टनलिंग प्रोटोकॉल है जिसकी अपनी कोई गोपनीयता नहीं है, और L2TP/IPsec सेवा में सुरक्षा उसके चारों ओर लिपटी IPsec परत से आती है। IKEv2 सीधे IPsec एसोसिएशन पर बातचीत करता है और उसमें टनल के अंदर टनल का कोई चरण नहीं है। आपका सर्वर कौन-सा स्टैक देता है, यह जानना प्रोफ़ाइल, प्रॉम्प्ट और लैपटॉप का नेटवर्क बदलने पर क्या होगा, तय करता है।
दो स्टैक, क्लाइंट में एक ही लेबल
L2TP UDP पर पोर्ट 1701 तक पॉइंट-टू-पॉइंट सत्र ले जाता है और एन्क्रिप्शन उसी पर छोड़ देता है जो उसे लपेटता है। इसे IPsec के साथ जोड़ें तो दो परतें मिलती हैं: रास्ते की रक्षा करने वाला IPsec एसोसिएशन, और उसके अंदर उपयोगकर्ता के लिंक-लेयर फ़्रेम और PPP प्रमाणीकरण ले जाने वाला L2TP सत्र।
IKEv2 एक नियंत्रण एसोसिएशन बनाता है और फिर ट्रैफ़िक की रक्षा करने वाले एक या अधिक चाइल्ड एसोसिएशन, सब UDP 500 और 4500 पर एक ही एक्सचेंज परिवार में। अंदर कोई टनलिंग प्रोटोकॉल नहीं है और PPP बातचीत भी नहीं।
क्रेडेंशियल: तीन परतों पर तीन सीक्रेट
यहीं ज़्यादातर सपोर्ट समय खर्च होता है। एक L2TP/IPsec प्रोफ़ाइल IPsec परत के लिए प्री-शेयर्ड की और अंदर के PPP सत्र के लिए उपयोगकर्ता नाम व पासवर्ड माँग सकता है, और दोनों अलग-अलग घटक जाँचते हैं। शेयर्ड की पूरे गेटवे की होती है, इसलिए वह किसी की पहचान नहीं करती; वह सिर्फ़ साबित करती है कि सामने वाला एक सीक्रेट जानता है।
IKEv2 आम तौर पर सर्टिफ़िकेट, या उपयोगकर्ता नाम और पासवर्ड के साथ EAP इस्तेमाल करता है, और प्री-शेयर्ड की भी इस्तेमाल कर सकता है। ये विकल्प L2TP की जोड़ी के साथ अदला-बदली योग्य नहीं हैं। जो पासवर्ड रीसेट अस्वीकृत EAP लॉगिन ठीक करता है, वह समय-समाप्त क्लाइंट सर्टिफ़िकेट के लिए कुछ नहीं करता, और खाते का पासवर्ड कितनी भी बार लिखें, गलत गेटवे की पूरी नहीं होती। कोई अनपेक्षित प्रॉम्प्ट आए तो अनुमान लगाने से पहले ऑपरेटर से पूछें कि वह किस परत का है।
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE क्या बदलता है और क्या नहीं
IKEv2 किसी एसोसिएशन को नए पते पर ले जा सकता है जब दोनों सिरे MOBIKE का समर्थन करते हैं, जो लैपटॉप के वाई-फ़ाई छोड़कर फ़ोन हॉटस्पॉट पर जाने की स्थिति को सिक्योरिटी एसोसिएशन तोड़े बिना ढकता है।
यह उस स्थानांतरण में हर ऐप्लिकेशन को जीवित नहीं रखता। ट्रांसपोर्ट फ़्लो फिर भी पता बदलता है, पुराने पते से बँधे सॉकेट फिर भी टूटते हैं, और किसी इंटरफ़ेस पर ट्रैफ़िक पिन करने वाली नीति उसे फिर भी गिरा सकती है। जो बदलाव आप वास्तव में करते हैं—नेटवर्क छोड़ना, नींद से जागना या लंबे निष्क्रिय समय के बाद लौटना—उसी को जाँचें और Connected लेबल की जगह ऐप्लिकेशन देखें।
विफलता के वे आकार जो इन्हें अलग करते हैं
गेटवे तक पहुँचकर रुक जाने वाली L2TP/IPsec प्रोफ़ाइल आम तौर पर दो प्रॉम्प्ट में से एक पर विफल होती है: शेयर्ड की या PPP क्रेडेंशियल। गलत की आम तौर पर क्लाइंट लॉग में कुछ काम का नहीं दिखाती, जबकि गलत पासवर्ड स्पष्ट प्रमाणीकरण अस्वीकृति पैदा करता है, और यही अंतर बताता है कि कहाँ देखें।
पहचान या सर्टिफ़िकेट गलत होने पर IKEv2 प्रोफ़ाइल पहले और ज़ोर से विफल होती है, क्योंकि नियंत्रण एसोसिएशन कभी पूरा नहीं होता। एसोसिएशन पूरा हो जाए और ट्रैफ़िक फिर भी विफल रहे, तो समस्या चाइल्ड एसोसिएशन, ट्रैफ़िक सिलेक्टर या रूट पर चली गई है, और कोई क्रेडेंशियल बदलाव मदद नहीं करेगा।
कहाँ कौन-सा अब भी फ़िट बैठता है
L2TP/IPsec टिका है क्योंकि यह लगभग हर क्लाइंट पर मौजूद है और अतिरिक्त सॉफ़्टवेयर नहीं माँगता, जो ऐसे डिवाइस पर काम करने वाले ठेकेदार के लिए मायने रखता है जिसे आप प्रबंधित नहीं करते। कीमत है अतिरिक्त परत, शेयर्ड-सीक्रेट मॉडल और हर पता बदलने के बाद फिर से जुड़ना।
प्रबंधित डिवाइस पर IKEv2 बेहतर बैठता है: सर्टिफ़िकेट पहचान, साफ़ मोबिलिटी, और सोचने के लिए एक ही एसोसिएशन परिवार। क्लाइंट पुराना हो तो यह और सख़्ती से विफल होता है, इसलिए इसके इर्द-गिर्द डिज़ाइन करने से पहले प्लेटफ़ॉर्म की समर्थित प्रमाणीकरण विधि देखें।
आपको दिया गया प्रोफ़ाइल जाँचना
पहले सर्वर की ओर से मोड पक्का करें, फिर उससे मेल खाता क्लाइंट प्रोफ़ाइल चुनें। उस प्रोफ़ाइल के लिए जारी ठीक होस्टनाम और क्रेडेंशियल के साथ जाँचें, और सार्वजनिक साइट की जगह निजी संसाधन सत्यापित करें।
अगर जुड़ता है और कुछ लोड नहीं होता, तो टनल काम कर रहा है और रूट, DNS या ट्रैफ़िक सिलेक्टर नहीं। उस समय प्रोटोकॉल बदलने से निदान आगे नहीं बढ़ता, नए सिरे से शुरू हो जाता है।