IKEv2 विरुद्ध L2TP/IPsec: तपाईंको सर्भर कुन प्रोफाइल चलाउँछ?
एउटा लेबलले दुई स्ट्याक, तीन किसिमका सिक्रेट र ठेगाना बदल्दा फरक व्यवहार लुकाउँछ। मेनु तुलना गर्नुअघि तहहरू छुट्याउनुहोस्।
दुवै नाम एउटै ड्रपडाउनमा सँगै देखिन्छन्, जसले बराबरका दुई विकल्पबीच छनोट गर्न आमन्त्रण गर्छ। ती बराबर होइनन्। L2TP आफ्नै गोपनीयता नभएको टनेलिङ प्रोटोकल हो, र L2TP/IPsec सेवामा सुरक्षा त्यसलाई बेरेको IPsec तहबाट आउँछ। IKEv2 सिधै IPsec एसोसिएसनमा वार्ता गर्छ र त्यसमा टनेलभित्र टनेल हुने चरण छैन। तपाईंको सर्भरले कुन स्ट्याक दिन्छ भन्ने थाहा पाउनुले प्रोफाइल, प्रम्प्ट र ल्यापटपको नेटवर्क बदल्दा के हुन्छ भन्ने निर्धारण गर्छ।
दुई स्ट्याक, क्लाइन्टमा एउटै लेबल
L2TP ले UDP मा पोर्ट 1701 सम्म पोइन्ट-टु-पोइन्ट सत्र बोक्छ र इन्क्रिप्सन जसले त्यसलाई बेर्छ उसैमा छोडिदिन्छ। यसलाई IPsec सँग जोड्दा दुई तह पाइन्छ: बाटोको सुरक्षा गर्ने IPsec एसोसिएसन, र त्यसभित्र प्रयोगकर्ताका लिङ्क-लेयर फ्रेम र PPP प्रमाणीकरण बोक्ने L2TP सत्र।
IKEv2 ले एउटा नियन्त्रण एसोसिएसन बनाउँछ र त्यसपछि ट्राफिकको सुरक्षा गर्ने एक वा धेरै चाइल्ड एसोसिएसन, सबै UDP 500 र 4500 मा एउटै एक्सचेन्ज परिवारमा। भित्र कुनै टनेलिङ प्रोटोकल छैन र PPP वार्ता पनि छैन।
क्रेडेन्सियल: तीन तहमा तीन सिक्रेट
यहीँ धेरैजसो सपोर्ट समय सकिन्छ। L2TP/IPsec प्रोफाइलले IPsec तहका लागि प्री-सेयर्ड कि र भित्री PPP सत्रका लागि प्रयोगकर्तानाम र पासवर्ड माग्न सक्छ, र दुवैलाई फरक फरक घटकले जाँच्छन्। सेयर्ड कि पूरै गेटवेको हुन्छ, त्यसैले यसले कसैलाई चिनाउँदैन; यसले सामुन्नेको पक्षलाई एउटा सिक्रेट थाहा छ भन्ने मात्र प्रमाणित गर्छ।
IKEv2 सामान्यतया प्रमाणपत्र, वा प्रयोगकर्तानाम र पासवर्डसहित EAP प्रयोग गर्छ, र प्री-सेयर्ड कि पनि प्रयोग गर्न सक्छ। ती विकल्पहरू L2TP को जोडीसँग साटासाट गर्न मिल्ने खालका होइनन्। अस्वीकृत EAP लगइन ठीक गर्ने पासवर्ड रिसेटले म्याद सकिएको क्लाइन्ट प्रमाणपत्रका लागि केही गर्दैन, र खाताको पासवर्ड जतिचोटि टाइप गरे पनि गलत गेटवे कि पूरा हुँदैन। अप्रत्याशित प्रम्प्ट आए अनुमान गर्नुअघि त्यो कुन तहको हो भनी अपरेटरलाई सोध्नुहोस्।
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE ले के बदल्छ र के बदल्दैन
दुवै टुप्पोले MOBIKE समर्थन गरे IKEv2 ले एसोसिएसनलाई नयाँ ठेगानामा सार्न सक्छ, जसले ल्यापटप वाइ-फाइ छोडेर फोनको हटस्पटमा जाने अवस्थालाई सुरक्षा एसोसिएसन नतोडी समेट्छ।
यसले त्यो सर्ने क्रममा हरेक एप्लिकेसन जीवित राख्दैन। ट्रान्सपोर्ट प्रवाहले अझै ठेगाना बदल्छ, पुरानो ठेगानामा बाँधिएका सकेट अझै टुट्छन्, र इन्टरफेसमा ट्राफिक पिन गर्ने नीतिले अझै त्यसलाई खसाल्न सक्छ। तपाईंले वास्तवमै गर्ने संक्रमण, अर्थात् नेटवर्क छोड्ने, निद्राबाट उठ्ने वा लामो निष्क्रियतापछि फर्किने अवस्था परीक्षण गर्नुहोस् र Connected लेबलको सट्टा एप्लिकेसन हेर्नुहोस्।
असफलताका ती आकार जसले तिनलाई छुट्याउँछन्
गेटवेसम्म पुगेर रोकिने L2TP/IPsec प्रोफाइल सामान्यतया दुई प्रम्प्टमध्ये एउटामा असफल हुन्छ: सेयर्ड कि वा PPP क्रेडेन्सियल। गलत किले सामान्यतया क्लाइन्ट लगमा उपयोगी केही देखाउँदैन, तर गलत पासवर्डले स्पष्ट प्रमाणीकरण अस्वीकृति निम्त्याउँछ, र यही भिन्नताले कहाँ हेर्ने भन्ने बताउँछ।
पहिचान वा प्रमाणपत्र गलत हुँदा IKEv2 प्रोफाइल अझ अगाडि र जोरसँग असफल हुन्छ, किनभने नियन्त्रण एसोसिएसन कहिल्यै पूरा हुँदैन। एसोसिएसन पूरा भएर पनि ट्राफिक असफल भयो भने समस्या चाइल्ड एसोसिएसन, ट्राफिक सिलेक्टर वा रुटमा सरेको छ, र कुनै क्रेडेन्सियल परिवर्तनले सहयोग गर्दैन।
कुन कहाँ अझै मिल्छ
L2TP/IPsec टिकिरहेको छ किनभने यो लगभग हरेक क्लाइन्टमा हुन्छ र थप सफ्टवेयर चाहिँदैन, जुन तपाईंले व्यवस्थापन नगर्ने यन्त्रमा काम गर्ने ठेकेदारका लागि महत्त्वपूर्ण छ। मूल्य भनेको थप तह, सेयर्ड-सिक्रेट मोडेल र हरेक ठेगाना परिवर्तनपछि पुनः जडान।
व्यवस्थित यन्त्रहरूमा IKEv2 बढी मिल्छ: प्रमाणपत्र पहिचान, सफा गतिशीलता, र सोच्नका लागि एउटै एसोसिएसन परिवार। क्लाइन्ट पुरानो भए यो अझ कडाइसाथ असफल हुन्छ, त्यसैले यसलाई वरिपरि डिजाइन गर्नुअघि प्लेटफर्मको समर्थित प्रमाणीकरण विधि जाँच्नुहोस्।
तपाईंलाई दिइएको प्रोफाइल जाँच्ने
पहिले सर्भरतर्फबाट मोड पक्का गर्नुहोस्, त्यसपछि त्यससँग मिल्ने क्लाइन्ट प्रोफाइल छान्नुहोस्। त्यो प्रोफाइलका लागि दिइएको ठ्याक्कै होस्टनेम र क्रेडेन्सियलसहित परीक्षण गर्नुहोस्, र सार्वजनिक साइटको सट्टा निजी स्रोत प्रमाणित गर्नुहोस्।
जोडिन्छ तर केही लोड हुँदैन भने टनेल चलिरहेको छ र रुट, DNS वा ट्राफिक सिलेक्टर चलिरहेको छैन। त्यो बिन्दुमा प्रोटोकल बदल्नुले निदान अगाडि बढाउँदैन, नयाँ सुरु गर्छ।