IKEv2 بمقابلہ L2TP/IPsec: آپ کا سرور کون سا پروفائل چلاتا ہے؟
ایک ہی لیبل دو اسٹیک، تین قسم کے راز اور پتہ بدلنے پر مختلف رویہ چھپاتا ہے۔ مینو کا موازنہ کرنے سے پہلے تہوں کو الگ کریں۔
دونوں نام اسی ڈراپ ڈاؤن میں ساتھ ساتھ آتے ہیں، جو برابر والوں میں سے انتخاب کا گمان دیتے ہیں۔ وہ برابر نہیں۔ L2TP ایک ٹنلنگ پروٹوکول ہے جس کی اپنی کوئی رازداری نہیں، اور L2TP/IPsec سروس میں حفاظت اس IPsec تہہ سے آتی ہے جو اسے لپیٹتی ہے۔ IKEv2 براہِ راست IPsec ایسوسی ایشن پر گفت و شنید کرتا ہے اور اس میں ٹنل کے اندر ٹنل کا کوئی مرحلہ نہیں۔ یہ جاننا کہ آپ کا سرور کون سا اسٹیک پیش کرتا ہے، پروفائل، پیغامات اور لیپ ٹاپ کے نیٹ ورک بدلنے پر ہونے والا عمل طے کرتا ہے۔
دو اسٹیک، کلائنٹ میں ایک لیبل
L2TP ایک نقطہ سے نقطہ سیشن UDP پر پورٹ 1701 تک لے جاتا ہے اور انکرپشن اس کے حوالے کر دیتا ہے جو اسے لپیٹے۔ اسے IPsec کے ساتھ جوڑیں تو دو تہیں ملتی ہیں: راستے کی حفاظت کرنے والی IPsec ایسوسی ایشن، اور اس کے اندر L2TP سیشن جو صارف کے لنک لیئر فریم اور PPP توثیق لے کر چلتا ہے۔
IKEv2 ایک کنٹرول ایسوسی ایشن اور پھر ایک یا زیادہ چائلڈ ایسوسی ایشنز بناتا ہے جو ٹریفک کی حفاظت کرتی ہیں، اور یہ سب UDP 500 اور 4500 پر ایک ہی تبادلہ خاندان میں ہوتا ہے۔ کوئی اندرونی ٹنلنگ پروٹوکول اور کوئی PPP گفت و شنید نہیں۔
اسناد: تین تہوں پر تین راز
یہیں زیادہ تر سپورٹ وقت ضائع ہوتا ہے۔ L2TP/IPsec پروفائل IPsec تہہ کے لیے پہلے سے شیئر شدہ کلید اور اندرونی PPP سیشن کے لیے صارف نام کے ساتھ پاس ورڈ مانگ سکتا ہے، اور دونوں کو مختلف اجزاء جانچتے ہیں۔ شیئر شدہ کلید مجموعی طور پر گیٹ وے کی ہے، اس لیے یہ کسی کی شناخت نہیں کرتی؛ یہ صرف یہ ثابت کرتی ہے کہ دوسرا فریق ایک راز جانتا ہے۔
IKEv2 عام طور پر سرٹیفکیٹ، یا صارف نام اور پاس ورڈ کے ساتھ EAP استعمال کرتا ہے، اور پہلے سے شیئر شدہ کلید بھی استعمال کر سکتا ہے۔ یہ اختیارات L2TP کے جوڑے کے ساتھ بدلے نہیں جا سکتے۔ پاس ورڈ ری سیٹ جو مسترد شدہ EAP لاگ ان درست کرتا ہے، میعاد ختم شدہ کلائنٹ سرٹیفکیٹ کے لیے کچھ نہیں کرتا، اور اکاؤنٹ کا پاس ورڈ کتنی بار بھی دوبارہ لکھیں، غلط گیٹ وے کلید پوری نہیں ہوگی۔ جب کوئی ایسا پیغام آئے جس کی توقع نہ تھی، اندازہ لگانے سے پہلے آپریٹر سے پوچھیں کہ یہ کس تہہ سے تعلق رکھتا ہے۔
| Question | L2TP/IPsec | IKEv2 |
|---|---|---|
| What encrypts the traffic | A wrapping IPsec association | The child association |
| Ports you must permit | UDP 500/4500 and UDP 1701 inside | UDP 500 and 4500 |
| Typical secrets | Gateway PSK plus PPP credentials | Certificate, EAP, or PSK |
| Address change | Tunnel breaks, reconnect needed | Can migrate with MOBIKE |
MOBIKE کیا بدلتا ہے اور کیا نہیں
IKEv2 کسی ایسوسی ایشن کو نئے پتے پر منتقل کر سکتا ہے جب دونوں سرے MOBIKE کی حمایت کریں، جو اس صورت کو ڈھکتا ہے جب لیپ ٹاپ وائی فائی چھوڑ کر فون کے ہاٹ اسپاٹ پر جاتا ہے اور سیکیورٹی ایسوسی ایشن نہیں توڑتا۔
لیکن یہ اس منتقلی میں ہر ایپلی کیشن کو زندہ نہیں رکھتا۔ ٹرانسپورٹ بہاؤ پھر بھی پتہ بدلتا ہے، پرانے پتے سے بندھے ساکٹ پھر بھی ٹوٹتے ہیں، اور ایسی پالیسی جو ٹریفک کو کسی انٹرفیس پر جڑ دیتی ہے پھر بھی اسے گرا سکتی ہے۔ وہی منتقلی آزمائیں جو آپ واقعی کرتے ہیں، چاہے نیٹ ورک چھوڑنا ہو، نیند سے بیدار ہونا ہو یا طویل بیکاری کے بعد واپسی ہو، اور کنیکٹڈ لیبل کے بجائے ایپلی کیشن کو دیکھیں۔
ناکامی کی وہ صورتیں جو انہیں الگ کرتی ہیں
L2TP/IPsec پروفائل جو گیٹ وے تک پہنچ کر رک جاتا ہے عموماً دو پیغامات میں سے ایک پر ناکام ہوتا ہے: شیئر شدہ کلید یا PPP اسناد۔ غلط کلید عموماً کلائنٹ لاگ میں کوئی کارآمد چیز نہیں دکھاتی، جبکہ غلط پاس ورڈ واضح توثیقی مستردگی پیدا کرتا ہے، اور یہی فرق بتاتا ہے کہ کہاں دیکھیں۔
IKEv2 پروفائل اس وقت جلد اور زوردار ناکام ہوتا ہے جب شناخت یا سرٹیفکیٹ غلط ہو، کیونکہ کنٹرول ایسوسی ایشن کبھی مکمل نہیں ہوتی۔ اگر ایسوسی ایشن مکمل ہو جائے اور ٹریفک پھر بھی ناکام رہے، تو مسئلہ چائلڈ ایسوسی ایشن، ٹریفک سلیکٹرز یا روٹ کی طرف منتقل ہو گیا ہے، اور اسناد کی کوئی تبدیلی مدد نہیں دے گی۔
ہر ایک اب بھی کہاں موزوں ہے
L2TP/IPsec اس لیے قائم ہے کیونکہ یہ تقریباً ہر کلائنٹ پر موجود ہے اور اضافی سافٹ ویئر نہیں مانگتا، جو ایسے آلے پر کام کرنے والے ٹھیکیدار کے لیے اہم ہے جو آپ نہیں چلاتے۔ قیمت اضافی تہہ، شیئر شدہ راز کا ماڈل اور ہر پتہ تبدیلی کے بعد دوبارہ رابطہ ہے۔
IKEv2 منظم آلات کے لیے زیادہ موزوں ہے: سرٹیفکیٹ کی شناخت، صاف ستھری حرکت پذیری اور غور کرنے کے لیے ایک ہی ایسوسی ایشن خاندان۔ لیکن کلائنٹ پرانا ہو تو یہ زیادہ سختی سے ناکام بھی ہوتا ہے، اس لیے اس کے گرد ڈیزائن کرنے سے پہلے پلیٹ فارم کا معاون توثیقی طریقہ دیکھ لیں۔
جو پروفائل آپ کو دیا گیا اسے آزمانا
پہلے سرور کی طرف سے موڈ کی تصدیق کریں، پھر اس سے مطابقت رکھنے والا کلائنٹ پروفائل چنیں۔ اسی پروفائل کے لیے جاری کردہ درست ہوسٹ نام اور اسناد کے ساتھ آزمائیں، اور عوامی سائٹ کے بجائے نجی وسیلے کی تصدیق کریں۔
اگر یہ جڑ جاتا ہے اور کچھ لوڈ نہیں ہوتا تو سرنگ کام کر رہی ہے اور روٹ، DNS یا ٹریفک سلیکٹر نہیں۔ اس موقع پر پروٹوکول بدلنا تشخیص کو آگے بڑھانے کے بجائے دوبارہ شروع کر دیتا ہے۔