IKEv2 د L2TP/IPsec پر ضد: ستاسو سرور کوم پروفایل چلوي؟
یو لیبل دوه سټکونه، درې ډوله راز او د پتې بدلېدو پر مهال بېل چلند پټوي۔ مخکې له دې چې مینوګانې پرتله کړئ، طبقې جلا کړئ۔
دواړه نومونه په هماغه ښکته راتلونکې لیست کې څنګ په څنګ راځي، چې د برابرونو ترمنځ د انتخاب احساس ورکوي۔ خو برابر نه دي۔ L2TP یو تونلینګ پروتوکول دی چې خپله پټتیا نه لري، او په L2TP/IPsec خدمت کې ساتنه له هغې IPsec طبقې راځي چې د هغه شاوخوا پېچل شوې ده۔ IKEv2 په مستقیم ډول د IPsec اسیوسیېشن خبرې اترې کوي او د تونل دننه تونل هېڅ پړاو نه لري۔ دا پوهېدل چې ستاسو سرور کوم سټک وړاندې کوي، پروفایل، پيغامونه او هغه څه ټاکي چې کله لیپ ټاپ شبکه بدلوي پېښېږي۔
دوه سټکونه، په کلاینټ کې یو لیبل
L2TP له UDP له لارې تر 1701 پورټ پورې د یوې نقطې څخه بلې ته سیشن وړي او کوډونه هغه چاته پرېږدي چې شاوخوا یې پېچلي۔ له IPsec سره یې جوړه کړئ او دوه طبقې ترلاسه کوئ: د لارې ساتنه کوونکې IPsec اسیوسیېشن، او په هغې کې L2TP سیشن چې د کاروونکي د لینک طبقې چوکاټونه او PPP تصدیق وړي۔
IKEv2 یو کنټرول اسیوسیېشن او بیا یو یا ډېر ماشوم اسیوسیېشنونه جوړوي چې ترافیک ساتي، ټول په یوه تبادله کورنۍ کې پر UDP 500 او 4500۔ نه داخلي تونلینګ پروتوکول شته او نه PPP خبرې اترې۔
اعتبارونه: درې رازونه پر درېو طبقو
دلته د ملاتړ ډېر وخت ورکېږي۔ L2TP/IPsec پروفایل کولای شي د IPsec طبقې لپاره مخکې شریک شوې کیلي او د داخلي PPP سیشن لپاره کاروونکی نوم له پټنوم سره وغواړي، او دواړه بېلابېل اجزا ګوري۔ شریکه کیلي په ټولیز ډول د ګېټوې ده، نو هېچا نه پېژني؛ یوازې دا ثابتوي چې بل لوری یو راز پېژني۔
IKEv2 معمولاً سندونه، یا له کاروونکي نوم او پټنوم سره EAP کاروي، او کولای شي مخکې شریکه شوې کیلي هم وکاروي۔ هغه انتخابونه د L2TP جوړې سره د تبادلې وړ نه دي۔ هغه پټنوم بیا تنظیم چې رد شوې EAP ننوتنه سمه کوي، د پای نېټې ختم شوي کلاینټ سند لپاره هېڅ نه کوي، او هر څومره ځله چې د حساب پټنوم بیا ولیکئ، غلطه ګېټوې کیلي نه بشپړېږي۔ کله چې داسې پيغام راشي چې تمه یې نه لرله، مخکې له اټکل کولو له آپریټر وپوښتئ چې کومې طبقې پورې اړه لري۔
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE څه بدلوي او څه نه
IKEv2 کولای شي یو اسیوسیېشن نوي پتې ته ولېږدوي کله چې دواړه سرونه MOBIKE ملاتړ کوي، چې هغه حالت هم رانغاړي چې لیپ ټاپ له وای فای څخه د تلیفون هټسپاټ ته ځي پرته له دې چې امنیتي اسیوسیېشن وشکوي۔
خو دا په دې لېږد کې هر اپلیکیشن ژوندی نه ساتي۔ د لېړنې بهیر بیا هم پته بدلوي، هغه ساکټونه چې زړې پتې ته تړلي بیا هم ماتېږي، او هغه تګلاره چې ترافیک یوې واسطې ته نېښوي بیا هم کولای شي هغه وغورځوي۔ هغه لېږد وآزمویئ چې واقعاً یې کوئ، که شبکه پرېښودل وي، که له خوبه پاڅېدل وي یا له اوږد بېکارۍ وروسته راستنېدل، او اپلیکیشن ته وګورئ نه د «نښلول شوي» لیبل ته۔
د ناکامۍ هغه بڼې چې دواړه جلا کوي
هغه L2TP/IPsec پروفایل چې ګېټوې ته رسېږي او بیا درېږي، معمولاً پر یوه له دوو پيغامونو ناکامېږي: شریکه کیلي یا PPP اعتبارونه۔ غلطه کیلي معمولاً په کلاینټ لاګ کې ګټور څه نه ښيي، پداسې حال کې چې غلط پټنوم روښانه تصدیقي رد تولیدوي، او همدا توپیر درته وایي چې چېرته وګورئ۔
IKEv2 پروفایل ژرتر او په لوړ غږ ناکامېږي کله چې هویت یا سند غلط وي، ځکه کنټرول اسیوسیېشن هېڅکله بشپړ نه شي۔ که اسیوسیېشن بشپړ شي او ترافیک بیا هم ناکام شي، ستونزه ماشوم اسیوسیېشن، د ترافیک ټاکونکو یا لارې ته لېږدېدلې ده، او د اعتبارونو هېڅ بدلون به مرسته ونه کړي۔
هر یو لا هم چېرته ځای مومي
L2TP/IPsec د دې لپاره پاتې دی چې نږدې هر کلاینټ کې شته او اضافي سافټویر نه غواړي، چې د هغه قراردادي لپاره مهم دی چې پر هغه وسیله کار کوي چې تاسو یې نه اداره کوئ۔ بیه یې اضافي طبقه، د شریک راز ماډل او له هرې پتې بدلون وروسته بیا نښلېدل دي۔
IKEv2 د اداره شوو وسایلو لپاره ښه ځای مومي: د سند له لارې هویت، پاکه خوځښت او یوه اسیوسیېشن کورنۍ چې پرې فکر وکړئ۔ خو کله چې کلاینټ زوړ وي زیات سخت ناکامېږي، نو د هغه شاوخوا د ډیزاین کولو مخکې د پلیټ فارم ملاتړ شوې تصدیق طریقه وګورئ۔
هغه پروفایل آزموئ چې درکړل شو
لومړی د سرور له اړخه حالت تایید کړئ، بیا له هغه سره سمون لرونکی کلاینټ پروفایل وټاکئ۔ د هماغه پروفایل لپاره د صادر شوي دقیق هوسټ نوم او اعتبارونو سره وآزمویئ، او خصوصي سرچینه تایید کړئ نه عمومي وېبپاڼه۔
که نښلي او هېڅ نه ډاونلوډېږي، تونل کار کوي او لار، DNS یا د ترافیک ټاکونکی نه کار کوي۔ په هماغه نقطه کې پروتوکول بدلول تشخیص بیا له سره پیلوي نه دا چې مخکې یې وړي۔