IKEv2 و L2TP/IPsec
IKEv2 و L2TP/IPsec همان نوع‌های VPN هستند که داخل گوشی‌ها و کامپیوترها وجود دارند. مشتری شما به برنامهٔ اضافه نیازی ندارد: یک VPN در تنظیمات دستگاهش اضافه می‌کند، یا فایل تنظیم آماده را از صفحهٔ اشتراکش نصب می‌کند. هر دو در اویرا ۱٫۰ اضافه شده‌اند و در همهٔ پلن‌ها، روی سرور خود پنل و روی نودها در دسترس‌اند.
| IKEv2 | L2TP/IPsec | |
|---|---|---|
| ورود | نام کاربری و رمز (EAP-MSCHAPv2)، سرور با گواهی تأیید می‌شود | کلید مشترک برای سرور، بعد نام کاربری و رمز |
| پورت‌ها | UDP ۵۰۰ و ۴۵۰۰ | UDP ۵۰۰، ۴۵۰۰ و ۱۷۰۱ |
| داخلی در | iOS، iPadOS، macOS، ویندوز، اندروید ۱۱ به بعد | iOS، iPadOS، macOS، ویندوز |
| با این هم کار می‌کند | strongSwan روی اندروید | نسخه‌های قدیمی‌تر اندروید |
| در هر نود | هر تعداد اینباند | یک اینباند |
IKEv2 را ترجیح دهید. وقتی گوشی بین وای‌فای و دیتای موبایل جابه‌جا می‌شود سریع دوباره وصل می‌شود و گواهی سرور را بررسی می‌کند. L2TP/IPsec را فقط برای دستگاه‌هایی بدهید که IKEv2 ندارند؛ نسخه‌های جدید اندروید اصلاً L2TP ندارند.
پیش از شروع
- نود اوبونتو با
apt،dpkgو systemd اجرا می‌کند. اویرا با وصل شدن اولین اینباند IPsec، strongSwan (و برای L2TP بسته‌های PPP) را روی نود نصب می‌کند. توزیع‌های دیگر به نصب قبلی بسته‌های سازگار نیاز دارند. - پورت‌های UDP ۵۰۰ و ۴۵۰۰ (و برای L2TP، UDP ۱۷۰۱) روی نود آزادند و در هر فایروالی جلوی آن باز هستند. این پورت‌ها بین همهٔ اینباندهای IPsec آن نود مشترک‌اند.
- هر کاربری که باید از IPsec استفاده کند رمز دارد. IKEv2 و L2TP با نام و رمز کاربر وارد می‌شوند؛ کاربر بدون رمز پیامی می‌بیند که از مدیر بخواهد رمز بگذارد.
- نود اویرا ۱٫۰ یا جدیدتر اجرا می‌کند. پنل و نودها را با هم به‌روز کنید.
ساخت اینباند
- به اینباندها بروید و اینباند جدید را بزنید.
- در پروتکل، IKEv2 یا L2TP/IPsec را انتخاب کنید.
- نام، بازهٔ آدرس کاربران و سرورهای DNS را تعیین کنید (برای IKEv2 تا چهار، برای L2TP تا دو).
- شناسهٔ سرور را پر کنید: دامنه یا آدرس IP که کاربران به آن وصل می‌شوند. اگر خالی بماند آدرس نود استفاده می‌شود.
- برای L2TP، کلید مشترک را خالی بگذارید تا ساخته شود، یا کلید خودتان را (۱۶ تا ۱۲۸ نویسه) وارد کنید.
- ساخت را بزنید و مثل هر اینباند دیگری از نودها آن را به یک نود وصل کنید.
راه‌اندازی دوباره در تغییرهای مشترک
سرویس‌های IPsec بین همهٔ اینباندهای IKEv2 و L2TP یک نود مشترک‌اند. تغییر یکی از آن‌ها، یا وصل و جدا کردن، IPsec آن نود را دوباره راه‌اندازی می‌کند و کاربران IKEv2 و L2TP آن را برای مدت کوتاهی قطع می‌کند. پنل پیش از ذخیره این را می‌گوید.
گواهی برای IKEv2
سرور IKEv2 هویتش را با گواهی‌ای برای شناسهٔ سرور ثابت می‌کند. دو انتخاب دارید:
- Ovira CA (پیش‌فرض). اویرا گواهی سرور را با CA خودش امضا می‌کند. دستگاه‌ها باید یک بار آن CA را نصب و معتبر کنند؛ فایل‌های تنظیم صفحهٔ اشتراک این کار را برای دستگاه‌های اپل و ویندوز انجام می‌دهند.
- Let's Encrypt. در صفحهٔ گواهی‌ها برای دامنهٔ نود گواهی بگیرید و آن را در اینباند انتخاب کنید. دستگاه‌ها بدون نصب چیزی به آن اعتماد دارند. تمدیدها بدون قطع کاربران متصل به سرورهای IKEv2 در حال اجرا می‌رسند.
تنظیمات پیشرفته
| فیلد | کار |
|---|---|
| پیشنهادهای IKE، پیشنهادهای ESP | مجموعه‌های رمزنگاری که سرور ارائه می‌دهد. دستگاه باید یک جفت IKE و ESP منطبق را پشتیبانی کند. مگر اینکه دستگاهی وصل نشود، پیش‌فرض‌ها را نگه دارید. |
| فاصلهٔ تجدید کلید IKE | ثانیه بین تجدید کلیدهای IKE (۳۰۰ تا ۶۰۴۸۰۰). |
| فاصلهٔ تجدید کلید Child SA | ثانیه بین تجدید کلیدهای تونل. 0 تجدید کلید از طرف سرور را خاموش می‌کند که برای کاربران ویندوز پشت NAT کمک می‌کند. |
| تشخیص قطع همتا | ثانیه‌های سکوت پیش از اینکه کاربر قطع‌شده حساب شود (۱۰ تا ۳۶۰۰). |
| تکه‌تکه‌سازی IKE، اجبار به کپسوله‌سازی UDP | در شبکه‌هایی که بسته‌های UDP بزرگ یا غیرعادی را دور می‌ریزند کمک می‌کنند. |
| مسیرها | فقط IKEv2. تونل تقسیم‌شده: تا ۶۴ بازهٔ IPv4 به‌جای کل ترافیک از VPN می‌روند. |
| MTU / MRU پروتکل PPP، LCP echo، زمان بیکاری | فقط L2TP. تنظیم لینک؛ 0 زمان بیکاری را خاموش می‌کند. |
کار مشتری‌های شما
صفحهٔ اشتراک کاربر یک تب IKEv2 و یک تب L2TP/IPsec دارد با آدرس سرور، نام کاربری، رمز (و برای L2TP کلید مشترک)، به‌علاوهٔ فایل‌های تنظیم:
- آیفون، آیپد و مک: یک پروفایل. در iOS به تنظیمات بروید، Profile Downloaded و بعد Install را بزنید. پروفایل امضا نشده، پس iOS آن را Not Verified نشان می‌دهد که طبیعی است. CA اویرا را هم نصب می‌کند و رمز را در خود دارد، پس باید خصوصی بماند.
- اندروید: یک پروفایل strongSwan برای IKEv2 (برنامه رمز را می‌پرسد)، یا کلاینت داخلی اندروید ۱۱ به بعد با نوع IKEv2/IPSec MSCHAPv2.
- ویندوز: یک اسکریپت PowerShell که اتصال را می‌سازد و CA اویرا را معتبر می‌کند. برای L2TP پشت NAT مقدار رجیستری لازم ویندوز را هم تنظیم می‌کند؛ اگر گفت، ویندوز را ری‌استارت کنید.
مراحل دستی برای هر سیستم‌عامل در همان تب نشان داده می‌شود.
عیب‌یابی
- هیچ اتصالی برقرار نمی‌شود: بررسی کنید UDP ۵۰۰ و ۴۵۰۰ به نود می‌رسند. خیلی از ارائه‌دهندگان ابری آن‌ها را در فایروال خودشان می‌بندند.
- خطای گواهی در IKEv2: شناسه‌ای که روی دستگاه وارد می‌شود باید دقیقاً با شناسهٔ سرور یکی باشد. با Ovira CA مطمئن شوید نصب و کاملاً معتبر شده است (iOS: Settings ← General ← About ← Certificate Trust Settings).
- ویندوز گواهی پنل را رد می‌کند: کلاینت داخلی ویندوز ممکن است گواهی ECDSA پنل را نپذیرد. از Ovira CA یا گواهی Let's Encrypt برای نود استفاده کنید.
- نصب IPsec روی نود شکست می‌خورد: جزئیات، خروجی مدیر بسته را نشان می‌دهد. شایع‌ترین علت، آینهٔ APT خراب یا مسدود روی نود است.
صفحه‌های مرتبط
- انتخاب پروتکل: مقایسهٔ IPsec با بقیه.
- گواهی‌ها: Let's Encrypt برای نودها و سرور اصلی.
- برنامه‌های کاربران: کدام برنامه روی کدام دستگاه.