IKEv2 विरुद्ध L2TP/IPsec: तुमचा सर्व्हर कोणते प्रोफाइल चालवतो?
एक लेबल दोन स्टॅक, तीन प्रकारचे सीक्रेट आणि पत्ता बदलल्यावर वेगळे वर्तन लपवते। मेनूची तुलना करण्यापूर्वी स्तर वेगळे करा।
दोन्ही नावे एकाच ड्रॉपडाउनमध्ये शेजारी दिसतात, ज्यामुळे समान असलेल्या दोन पर्यायांमधून निवड करण्याचे निमंत्रण मिळते। ते समान नाहीत। L2TP हे स्वतःची गोपनीयता नसलेले टनेलिंग प्रोटोकॉल आहे, आणि L2TP/IPsec सेवेतील संरक्षण त्याच्याभोवती गुंडाळलेल्या IPsec स्तरातून येते। IKEv2 थेट IPsec असोसिएशनवर वाटाघाटी करते आणि त्यात टनेलच्या आत टनेल असा टप्पा नाही। तुमचा सर्व्हर कोणता स्टॅक देतो हे जाणून घेणे प्रोफाइल, प्रॉम्प्ट आणि लॅपटॉपचे नेटवर्क बदलल्यावर काय होईल हे ठरवते।
दोन स्टॅक, क्लायंटमध्ये एकच लेबल
L2TP UDP वर 1701 पोर्टपर्यंत पॉइंट-टू-पॉइंट सत्र नेते आणि एन्क्रिप्शन जो त्याला गुंडाळतो त्याच्यावर सोडून देते। ते IPsec सोबत जोडल्यास दोन स्तर मिळतात: मार्गाचे संरक्षण करणारे IPsec असोसिएशन, आणि त्याच्या आत वापरकर्त्याचे लिंक-लेयर फ्रेम्स व PPP प्रमाणीकरण नेणारे L2TP सत्र।
IKEv2 एक नियंत्रण असोसिएशन तयार करते आणि नंतर रहदारीचे संरक्षण करणारे एक किंवा अधिक चाइल्ड असोसिएशन, सर्व UDP 500 आणि 4500 वर एकाच एक्स्चेंज कुटुंबात। आत कोणतेही टनेलिंग प्रोटोकॉल नाही आणि PPP वाटाघाटीही नाही।
क्रेडेन्शियल: तीन स्तरांवर तीन सीक्रेट
इथेच बहुतांश सपोर्ट वेळ संपतो। L2TP/IPsec प्रोफाइल IPsec स्तरासाठी प्री-शेअर्ड की आणि आतील PPP सत्रासाठी वापरकर्तानाव व पासवर्ड मागू शकते, आणि दोन्ही वेगवेगळे घटक तपासतात। शेअर्ड की संपूर्ण गेटवेची असते, त्यामुळे ती कोणाचीही ओळख करून देत नाही; ती फक्त समोरच्या बाजूला एक सीक्रेट माहीत आहे हे सिद्ध करते।
IKEv2 सामान्यतः सर्टिफिकेट, किंवा वापरकर्तानाव व पासवर्डसह EAP वापरते, आणि प्री-शेअर्ड कीही वापरू शकते। ते पर्याय L2TP च्या जोडीशी अदलाबदल करण्यायोग्य नाहीत। नाकारलेला EAP लॉगिन दुरुस्त करणारा पासवर्ड रीसेट कालबाह्य क्लायंट सर्टिफिकेटसाठी काहीही करत नाही, आणि खात्याचा पासवर्ड कितीही वेळा टाइप केला तरी चुकीची गेटवे की पूर्ण होत नाही। अनपेक्षित प्रॉम्प्ट आला तर अंदाज लावण्यापूर्वी तो कोणत्या स्तराचा आहे ते ऑपरेटरला विचारा।
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE काय बदलते आणि काय नाही
दोन्ही टोके MOBIKE ला पाठिंबा देत असतील तेव्हा IKEv2 असोसिएशनला नव्या पत्त्यावर हलवू शकते, जे लॅपटॉप वाय-फाय सोडून फोनच्या हॉटस्पॉटवर जाण्याच्या प्रकरणाचे सुरक्षा असोसिएशन न तोडता कव्हर करते।
ते त्या हालचालीत प्रत्येक अनुप्रयोग जिवंत ठेवत नाही। ट्रान्सपोर्ट प्रवाह तरीही पत्ता बदलतो, जुन्या पत्त्याला बांधलेले सॉकेट तरीही तुटतात, आणि इंटरफेसवर रहदारी पिन करणारे धोरण तरीही ती टाकून देऊ शकते। तुम्ही प्रत्यक्षात करता तेच संक्रमण तपासा, म्हणजे नेटवर्क सोडणे, झोपेतून उठणे किंवा दीर्घ निष्क्रियतेनंतर परत येणे, आणि Connected लेबलऐवजी अनुप्रयोग पाहा।
अपयशाचे ते आकार जे त्यांना वेगळे करतात
गेटवेपर्यंत पोहोचून थांबणारे L2TP/IPsec प्रोफाइल सामान्यतः दोन प्रॉम्प्टपैकी एकावर अपयशी होते: शेअर्ड की किंवा PPP क्रेडेन्शियल। चुकीची की सामान्यतः क्लायंट लॉगमध्ये उपयुक्त काही दाखवत नाही, तर चुकीचा पासवर्ड स्पष्ट प्रमाणीकरण नकार निर्माण करतो, आणि हाच फरक कुठे पाहावे हे सांगतो।
ओळख किंवा सर्टिफिकेट चुकीचे असल्यास IKEv2 प्रोफाइल आधी आणि जोरात अपयशी होते, कारण नियंत्रण असोसिएशन कधीच पूर्ण होत नाही। असोसिएशन पूर्ण झाले आणि रहदारी तरीही अपयशी झाली, तर समस्या चाइल्ड असोसिएशन, रहदारी निवडक किंवा मार्गाकडे गेली आहे, आणि कोणताही क्रेडेन्शियल बदल मदत करणार नाही।
कुठे काय अजून बसते
L2TP/IPsec टिकते कारण ते जवळपास प्रत्येक क्लायंटवर असते आणि जादा सॉफ्टवेअर लागत नाही, जे तुम्ही व्यवस्थापित न करता त्या उपकरणावर काम करणाऱ्या कंत्राटदारासाठी महत्त्वाचे आहे। किंमत म्हणजे जादा स्तर, शेअर्ड-सीक्रेट मॉडेल आणि प्रत्येक पत्ता बदलानंतर पुन्हा जोडणी।
व्यवस्थापित उपकरणांसाठी IKEv2 जास्त बसते: सर्टिफिकेट ओळख, स्वच्छ गतिशीलता, आणि विचार करण्यासाठी एकच असोसिएशन कुटुंब। क्लायंट जुना असेल तर ते अधिक कठोरपणे अपयशी होते, त्यामुळे त्याभोवती रचना करण्यापूर्वी प्लॅटफॉर्मची समर्थित प्रमाणीकरण पद्धत तपासा।
तुम्हाला दिलेले प्रोफाइल तपासणे
प्रथम सर्व्हरच्या बाजूने मोड निश्चित करा, नंतर त्याला जुळणारे क्लायंट प्रोफाइल निवडा। त्या प्रोफाइलसाठी दिलेल्या नेमक्या होस्टनावाने आणि क्रेडेन्शियलने तपासा, आणि सार्वजनिक साइटऐवजी खाजगी स्रोत पडताळून पाहा।
जोडले जाते पण काहीच लोड होत नसेल, तर टनेल चालू आहे आणि मार्ग, DNS किंवा रहदारी निवडक चालू नाही। त्या टप्प्यावर प्रोटोकॉल बदलल्यास निदान पुढे जात नाही, नव्याने सुरू होते।