IKEv2 അല്ലെങ്കിൽ L2TP/IPsec: നിങ്ങളുടെ സെർവർ ഏത് പ്രൊഫൈൽ പ്രവർത്തിപ്പിക്കുന്നു?
ഒരു ലേബൽ രണ്ട് സ്റ്റാക്കുകളും മൂന്ന് തരം രഹസ്യങ്ങളും വിലാസം മാറുമ്പോഴുള്ള വ്യത്യസ്ത സ്വഭാവവും മറച്ചുവയ്ക്കുന്നു. മെനുകൾ താരതമ്യം ചെയ്യുന്നതിന് മുമ്പ് പാളികൾ വേർതിരിക്കുക.
രണ്ട് പേരുകളും ഒരേ ഡ്രോപ്ഡൗണിൽ ഒപ്പം കാണാം, ഇത് തുല്യരായ രണ്ട് ഓപ്ഷനുകൾക്കിടയിൽ തിരഞ്ഞെടുക്കാനുള്ള ക്ഷണമാണ്. അവ തുല്യരല്ല. L2TP സ്വന്തം രഹസ്യസ്വഭാവമില്ലാത്ത ഒരു ടണലിംഗ് പ്രോട്ടോക്കോളാണ്, L2TP/IPsec സേവനത്തിലെ സംരക്ഷണം അതിനെ ചുറ്റിപ്പറ്റിയുള്ള IPsec പാളിയിൽ നിന്നാണ് വരുന്നത്. IKEv2 നേരിട്ട് ഒരു IPsec അസോസിയേഷൻ ചർച്ച ചെയ്യുന്നു, അതിൽ ടണലിനുള്ളിൽ ടണൽ എന്ന ഘട്ടമില്ല. നിങ്ങളുടെ സെർവർ ഏത് സ്റ്റാക്ക് നൽകുന്നു എന്നറിയുന്നത് പ്രൊഫൈലും പ്രോംപ്റ്റുകളും ലാപ്ടോപ്പ് നെറ്റ്വർക്ക് മാറുമ്പോൾ സംഭവിക്കുന്നതും നിർണ്ണയിക്കുന്നു.
രണ്ട് സ്റ്റാക്കുകൾ, ക്ലയന്റിൽ ഒരു ലേബൽ
L2TP UDP-യിൽ പോർട്ട് 1701 വരെ ഒരു പോയിന്റ്-ടു-പോയിന്റ് സെഷൻ കൊണ്ടുപോകുന്നു, എൻക്രിപ്ഷൻ അതിനെ പൊതിയുന്നവർക്ക് വിടുന്നു. IPsec-മായി ചേർത്താൽ രണ്ട് പാളികൾ ലഭിക്കും: വഴിയെ സംരക്ഷിക്കുന്ന IPsec അസോസിയേഷൻ, അതിനുള്ളിൽ ഉപയോക്താവിന്റെ ലിങ്ക്-ലെയർ ഫ്രെയിമുകളും PPP പ്രാമാണീകരണവും കൊണ്ടുപോകുന്ന L2TP സെഷൻ.
IKEv2 ഒരു കൺട്രോൾ അസോസിയേഷൻ ഉണ്ടാക്കുന്നു, തുടർന്ന് ട്രാഫിക് സംരക്ഷിക്കുന്ന ഒന്നോ അതിലധികമോ ചൈൽഡ് അസോസിയേഷനുകൾ, എല്ലാം UDP 500, 4500 എന്നിവയിൽ ഒരേ എക്സ്ചേഞ്ച് കുടുംബത്തിൽ. അകത്ത് ടണലിംഗ് പ്രോട്ടോക്കോളില്ല, PPP ചർച്ചയുമില്ല.
ക്രെഡൻഷ്യലുകൾ: മൂന്ന് പാളികളിൽ മൂന്ന് രഹസ്യങ്ങൾ
ഇവിടെയാണ് കൂടുതൽ സപ്പോർട്ട് സമയം പോകുന്നത്. ഒരു L2TP/IPsec പ്രൊഫൈൽ IPsec പാളിക്ക് പ്രീ-ഷെയേർഡ് കീയും അകത്തെ PPP സെഷന് ഉപയോക്തൃനാമവും പാസ്വേഡും ചോദിക്കാം, രണ്ടും വ്യത്യസ്ത ഘടകങ്ങൾ പരിശോധിക്കുന്നു. പങ്കിട്ട കീ മുഴുവൻ ഗേറ്റ്വേയുടേതാണ്, അതിനാൽ അത് ആരെയും തിരിച്ചറിയിക്കുന്നില്ല; എതിർവശത്തിന് ഒരു രഹസ്യം അറിയാം എന്ന് മാത്രം തെളിയിക്കുന്നു.
IKEv2 സാധാരണയായി സർട്ടിഫിക്കറ്റുകളോ ഉപയോക്തൃനാമവും പാസ്വേഡും ഉള്ള EAP-യോ ഉപയോഗിക്കുന്നു, പ്രീ-ഷെയേർഡ് കീയും ഉപയോഗിക്കാം. ആ ഓപ്ഷനുകൾ L2TP ജോടിയുമായി പരസ്പരം മാറ്റാവുന്നതല്ല. നിരസിക്കപ്പെട്ട EAP ലോഗിൻ ശരിയാക്കുന്ന പാസ്വേഡ് റീസെറ്റ് കാലഹരണപ്പെട്ട ക്ലയന്റ് സർട്ടിഫിക്കറ്റിന് ഒന്നും ചെയ്യുന്നില്ല, അക്കൗണ്ട് പാസ്വേഡ് എത്ര തവണ ടൈപ്പ് ചെയ്താലും തെറ്റായ ഗേറ്റ്വേ കീ തൃപ്തിപ്പെടുത്തില്ല. പ്രതീക്ഷിക്കാത്ത ഒരു പ്രോംപ്റ്റ് വന്നാൽ ഊഹിക്കുന്നതിന് മുമ്പ് അത് ഏത് പാളിയുടേതെന്ന് ഓപ്പറേറ്ററോട് ചോദിക്കുക.
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE എന്ത് മാറ്റുന്നു, എന്ത് മാറ്റുന്നില്ല
രണ്ട് അറ്റങ്ങളും MOBIKE പിന്തുണയ്ക്കുമ്പോൾ IKEv2 അസോസിയേഷനെ പുതിയ വിലാസത്തിലേക്ക് നീക്കാം, ലാപ്ടോപ്പ് വൈ-ഫൈ വിട്ട് ഫോൺ ഹോട്ട്സ്പോട്ടിലേക്ക് പോകുന്ന സാഹചര്യം സെക്യൂരിറ്റി അസോസിയേഷൻ പൊളിക്കാതെ ഇത് ഉൾക്കൊള്ളുന്നു.
ആ മാറ്റത്തിലുടനീളം എല്ലാ ആപ്ലിക്കേഷനുകളെയും ഇത് ജീവനോടെ നിർത്തുന്നില്ല. ട്രാൻസ്പോർട്ട് ഫ്ലോ ഇപ്പോഴും വിലാസം മാറുന്നു, പഴയ വിലാസത്തിൽ ബന്ധിച്ച സോക്കറ്റുകൾ ഇപ്പോഴും പൊളിയുന്നു, ഒരു ഇന്റർഫേസിലേക്ക് ട്രാഫിക് പിൻ ചെയ്യുന്ന നയം അതിനെ ഇപ്പോഴും വീഴ്ത്താം. നിങ്ങൾ യഥാർത്ഥത്തിൽ നടത്തുന്ന മാറ്റം, അതായത് നെറ്റ്വർക്ക് വിടുക, ഉറക്കത്തിൽ നിന്ന് ഉണരുക അല്ലെങ്കിൽ ദീർഘനിഷ്ക്രിയതയ്ക്ക് ശേഷം തിരികെ വരിക എന്നിവ പരിശോധിക്കുക, Connected ലേബലിന് പകരം ആപ്ലിക്കേഷൻ നോക്കുക.
അവയെ വേർതിരിക്കുന്ന പരാജയ രൂപങ്ങൾ
ഗേറ്റ്വേയിൽ എത്തി നിൽക്കുന്ന L2TP/IPsec പ്രൊഫൈൽ സാധാരണയായി രണ്ട് പ്രോംപ്റ്റുകളിൽ ഒന്നിൽ പരാജയപ്പെടുന്നു: പങ്കിട്ട കീ അല്ലെങ്കിൽ PPP ക്രെഡൻഷ്യലുകൾ. തെറ്റായ കീ സാധാരണയായി ക്ലയന്റ് ലോഗിൽ ഉപകാരപ്രദമായത് ഒന്നും കാണിക്കുന്നില്ല, തെറ്റായ പാസ്വേഡ് വ്യക്തമായ പ്രാമാണീകരണ നിരസിക്കൽ ഉണ്ടാക്കുന്നു, ഈ വ്യത്യാസമാണ് എവിടെ നോക്കണമെന്ന് പറയുന്നത്.
ഐഡന്റിറ്റിയോ സർട്ടിഫിക്കറ്റോ തെറ്റാകുമ്പോൾ IKEv2 പ്രൊഫൈൽ നേരത്തെയും ഉച്ചത്തിലും പരാജയപ്പെടുന്നു, കാരണം കൺട്രോൾ അസോസിയേഷൻ ഒരിക്കലും പൂർത്തിയാകുന്നില്ല. അസോസിയേഷൻ പൂർത്തിയായിട്ടും ട്രാഫിക് പരാജയപ്പെട്ടാൽ, പ്രശ്നം ചൈൽഡ് അസോസിയേഷനിലേക്കോ ട്രാഫിക് സെലക്ടറിലേക്കോ റൂട്ടിലേക്കോ മാറിയിരിക്കുന്നു, ക്രെഡൻഷ്യൽ മാറ്റം സഹായിക്കില്ല.
ഏത് എവിടെ ഇപ്പോഴും ചേരുന്നു
L2TP/IPsec നിലനിൽക്കുന്നത് ഏതാണ്ട് എല്ലാ ക്ലയന്റിലും ഉള്ളതിനാലും കൂടുതൽ സോഫ്റ്റ്വെയർ വേണ്ടതില്ലാത്തതിനാലുമാണ്, നിങ്ങൾ കൈകാര്യം ചെയ്യാത്ത ഉപകരണത്തിൽ ജോലി ചെയ്യുന്ന കരാറുകാരന് ഇത് പ്രധാനമാണ്. വില അധിക പാളി, പങ്കിട്ട-രഹസ്യ മാതൃക, ഓരോ വിലാസ മാറ്റത്തിനും ശേഷം വീണ്ടും ബന്ധിപ്പിക്കൽ എന്നിവയാണ്.
നിയന്ത്രിത ഉപകരണങ്ങളിൽ IKEv2 കൂടുതൽ ചേരുന്നു: സർട്ടിഫിക്കറ്റ് ഐഡന്റിറ്റി, വ്യക്തമായ മൊബിലിറ്റി, ചിന്തിക്കാൻ ഒരു അസോസിയേഷൻ കുടുംബം. ക്ലയന്റ് പഴയതാണെങ്കിൽ ഇത് കൂടുതൽ കടുപ്പത്തിൽ പരാജയപ്പെടുന്നു, അതിനാൽ അതിനെ ചുറ്റിപ്പറ്റി രൂപകൽപ്പന ചെയ്യുന്നതിന് മുമ്പ് പ്ലാറ്റ്ഫോമിന്റെ പിന്തുണയുള്ള പ്രാമാണീകരണ രീതി പരിശോധിക്കുക.
നിങ്ങൾക്ക് നൽകിയ പ്രൊഫൈൽ പരീക്ഷിക്കൽ
ആദ്യം സെർവർ വശത്തുനിന്ന് മോഡ് ഉറപ്പാക്കുക, തുടർന്ന് അതിന് ചേരുന്ന ക്ലയന്റ് പ്രൊഫൈൽ തിരഞ്ഞെടുക്കുക. ആ പ്രൊഫൈലിനായി നൽകിയ കൃത്യമായ ഹോസ്റ്റ്നെയിമും ക്രെഡൻഷ്യലുകളും ഉപയോഗിച്ച് പരീക്ഷിക്കുക, പൊതു സൈറ്റിന് പകരം സ്വകാര്യ റിസോഴ്സ് പരിശോധിക്കുക.
ബന്ധിപ്പിക്കുന്നുണ്ടെങ്കിലും ഒന്നും ലോഡ് ആകുന്നില്ലെങ്കിൽ, ടണൽ പ്രവർത്തിക്കുന്നു, റൂട്ടോ DNS-ഓ ട്രാഫിക് സെലക്ടറോ അല്ല. ആ ഘട്ടത്തിൽ പ്രോട്ടോക്കോൾ മാറ്റുന്നത് രോഗനിർണ്ണയം മുന്നോട്ട് കൊണ്ടുപോകാതെ വീണ്ടും തുടങ്ങുന്നു.