💤 🍞 👨‍🏭 क्यों मैं अन्य वीपीएन से अधिक IKEv2 प्यार करता हूँ 🔑 ❇️ 💯

अब हर कोई दूरस्थ कर्मचारियों के लिए एक वीपीएन स्थापित कर रहा है। यह मुझे यह देखने के लिए परेशान करता है कि लोग कैसे राक्षसी छोटी गाड़ी के कार्यक्रमों को स्थापित करते हैं, कुछ प्रकार के प्रमाणपत्रों को कॉन्फ़िगर करते हैं, TUN / TAP ड्राइवरों को स्थापित करते हैं और कई जटिल ऑपरेशन करते हैं, जबकि सबसे अच्छा समाधान पहले से ही ऑपरेटिंग सिस्टम में बनाया गया है।

IKEv2 माइक्रोसॉफ्ट और सिस्को द्वारा विकसित एक आधुनिक वीपीएन प्रोटोकॉल है। यह विंडोज, मैकओएस, आईओएस में नए वीपीएन कनेक्शन के लिए डिफ़ॉल्ट रूप से उपयोग किया जाता है। यह अधिकांश वीपीएन प्रोटोकॉल की तुलना में तेज़ और सुरक्षित है और इसे थर्ड-पार्टी प्रोग्राम्स का उपयोग किए बिना आसानी से क्लाइंट क्लिक पर दो क्लिक में कॉन्फ़िगर किया जा सकता है।

मेरा मानना है कि IPsec IKEv2 न केवल सर्वरों को जोड़ने के लिए, बल्कि नियमित वीपीएन एंड-यूज़र कनेक्शन के लिए भी बहुत अच्छा है। इस पोस्ट में, मैं आपको OpenVPN के बजाय नियमित घरेलू उपयोगकर्ताओं के लिए IPsec IKEv2 का उपयोग करने के लिए मनाने की कोशिश करूंगा।

IKEv2 तेजी से

सभी चीजें समान होने के कारण, IKEv2 हमेशा OpenVPN से तेज होगा। यह विशेष रूप से धीमी मेमोरी के साथ कम शक्ति प्रणालियों पर ध्यान देने योग्य है, जैसे कि राउटर या एकल-बोर्ड कंप्यूटर।

तथ्य यह है कि IPsec ऑपरेटिंग सिस्टम के कर्नेल के संदर्भ में काम करता है, और OpenVPN उपयोगकर्ता (यूजरस्पेस) के संदर्भ में, और प्रत्येक पैकेज का प्रसंस्करण कर्नेल प्रक्रियाओं और उपयोगकर्ता प्रक्रियाओं के बीच संदर्भ को स्विच करता है। यह थ्रूपुट और विलंबता दोनों को प्रभावित करता है।

^{विभिन्न वीपीएन प्रोटोकॉल के लिए देरी की तुलना।}

ऊपर दिया गया स्क्रीनशॉट IPsec और OpenVPN के बीच आधे में देरी का अंतर दिखाता है। बेशक, 1ms का अंतर आंख से नोटिस करना असंभव है, लेकिन सिस्टम पर लोड के साथ, ये मूल्य काफी भिन्न हो सकते हैं। इसके अलावा, वास्तविक संकेतक दृढ़ता से एक विशेष प्रणाली की विशेषताओं पर निर्भर करते हैं, इसलिए मैं दो प्रोटोकॉल की तुलना करने के लिए पूर्ण आंकड़े नहीं दूंगा। वीपीएन पर आवाज और वीडियो का उपयोग करते समय विलंब बहुत महत्वपूर्ण है।

मेरी व्यक्तिपरक भावनाओं के अनुसार, विंडोज 10 पर IKEv2 OpenVPN की तुलना में कहीं अधिक उत्तरदायी है। आखिरकार, डेस्कटॉप कंप्यूटर का वास्तविक उपयोग वीपीएन प्रोटोकॉल के सिंथेटिक परीक्षणों से बहुत अलग है। प्रोसेसर और मेमोरी पर लोड स्थिर नहीं है, उपयोगकर्ता मांग कार्यक्रमों को चला सकता है, यह सब प्रदर्शन को प्रभावित करेगा।

IKEv2 को कॉन्फ़िगर करना आसान है

सभी आधुनिक ऑपरेटिंग सिस्टम (एंड्रॉइड को छोड़कर) IPsec IKEv2 को बॉक्स के ठीक बाहर सपोर्ट करते हैं। किसी भी प्रोग्राम , वर्चुअल TUN / TAP ड्राइवर आदि को स्थापित करने की आवश्यकता नहीं है । सभी वीपीएन प्रबंधन सिस्टम मेनू से आता है।

इसी समय, क्लाइंट पर कॉन्फ़िगरेशन को तीन लाइनों में सरल बनाया जा सकता है:

डोमेन - IPsec के लिए, एक डोमेन की आवश्यकता होती है, क्योंकि एक SSL प्रमाणपत्र इसके लिए जारी किया जाता है
लॉग इन करें
कुंजिका

आपको क्लाइंट को प्रमाणपत्र और कुंजियों के साथ फ़ाइलों को स्थानांतरित करने की आवश्यकता नहीं है, इसे सिस्टम स्टोरेज में रूट प्रमाणपत्र आयात करने के लिए मजबूर करें। प्रमाण पत्र का उपयोग करते समय एक उपयोगकर्ता नाम और पासवर्ड पर्याप्त है, और कनेक्शन OpenVPN में उतना ही सुरक्षित होगा, क्योंकि कनेक्शन HTTPS वाली वेबसाइटों के लिए उसी x.509 प्रमाणपत्र का उपयोग करता है।

विंडोज 10 पर सेटअप

वीपीएन सेटअप विज़ार्ड को वाईफाई कनेक्शन मेनू से कहा जाता है। किसी भी योग्यता का उपयोगकर्ता एक विंडो के सेटअप को संभाल सकता है। निर्मित कनेक्शन को वाईफाई नेटवर्क की सूची के साथ मेनू से सक्रिय किया जाता है।

^{विंडोज 10 में एक नया IKEv2 कनेक्शन कॉन्फ़िगर करने के लिए इंटरफ़ेस}

MacOS सेटअप

macOS IKEv2 10.11 (El Capitan). .

. .

, . «Server Address» IP- , «Remote ID», DNS-, .

/etc/ipsec.secrets

IOS सेटअप

iOS , mobileconfig.

macOS:

-> VPN -> VPN

IKEv2 सुरक्षित है

पिछले चरण में, हमें पता चला कि कनेक्शन को कॉन्फ़िगर करने के लिए एक लॉगिन और पासवर्ड पर्याप्त हैं। लेकिन क्लाइंट कैसे सत्यापित कर सकता है कि कनेक्शन टैप नहीं किया जा रहा है, डेटा को प्रतिस्थापित नहीं किया जा रहा है, और सर्वर वास्तव में है जो यह होने का दावा करता है? इसके लिए, साधारण एसएसएल प्रमाणपत्रों का उपयोग किया जाता है, जिनका उपयोग हम वेबसाइटों और एचटीटीपीएस के लिए उपयोग करते हैं।

क्लाइंट सर्वर के साथ एक सुरक्षित एसएसएल सुरंग स्थापित करता है, और उसके अंदर एक लॉगिन पासवर्ड पहले से ही प्रसारित होता है। डिफ़ॉल्ट रूप से, Windows और macOS पर, पासवर्ड ट्रांसमिट करने के लिए mschapv2 एल्गोरिथ्म का उपयोग किया जाता है। इस प्रकार, SSL प्रमाणपत्र की सहायता से, क्लाइंट सर्वर की प्रामाणिकता की पुष्टि करता है, और लॉगिन-पासवर्ड का उपयोग करके, सर्वर क्लाइंट की प्रामाणिकता की पुष्टि करता है।

एक IKEv2 सर्वर वेब सर्वर के साथ एक ही प्रमाण पत्र का उपयोग कर सकता है, उदाहरण के लिए लोकप्रिय लेट्स एनक्रिप्ट से। यह प्रमाणपत्र प्रबंधन को बहुत सरल करता है।

OpenVPN में उसी मॉडल का उपयोग किया जाता है, और यदि वांछित है, तो आप इसमें Lets Encrypt से एक प्रमाण पत्र का उपयोग कर सकते हैं, हालांकि, किसी भी स्थिति में, वीपीएन को कॉन्फ़िगर करने के लिए व्यवस्थापक को उपयोगकर्ता को फ़ाइल स्थानांतरित करने की आवश्यकता होगी।

IKEv2 सर्वर कॉन्फ़िगर करें

आप अपने IKEv2 सर्वर को स्वचालित इंस्टॉलेशन स्क्रिप्ट का उपयोग करके या तैयार कंटेनर का उपयोग करके कुछ मिनटों में तैनात कर सकते हैं। डॉकटर का उपयोग करने की अनुशंसा नहीं की जाती है, क्योंकि इसका नेटवर्क सबसिस्टम सस्ते वीपीएस दरों पर IPsec के प्रदर्शन को कम करता है। आप IKEv2 सर्वर को मैन्युअल रूप से कॉन्फ़िगर कर सकते हैं, स्ट्रॉन्गवान सर्वर सेटिंग्स के उदाहरणों के साथ Habré पर लेख हैं ।

हम सबसे सफल ऑटो-ट्यूनिंग स्क्रिप्ट्स में से एक का उपयोग करेंगे github.com/jawj/IKEv2-setup
यह स्क्रिप्ट अच्छी है क्योंकि यह लेट्स एनक्रिप्ट से प्रमाणपत्रों का उपयोग करता है और स्वचालित रूप से एक वैध प्रमाणपत्र उत्पन्न करता है।

चरण 1: सर्वर चयन

वीपीएन सर्वर शुरू करने के लिए, हमें VDS की आवश्यकता है। एकल प्रोसेसर कोर के साथ सबसे सरल कॉन्फ़िगरेशन करेगा। हमारे उदाहरण से स्क्रिप्ट को उबंटू 18.04 पर सबसे अच्छा परीक्षण किया गया है, इसलिए सर्वर बनाते समय, इस ओएस छवि का चयन करें।

हम कनेक्शन के विवरण को समाप्त करने और कॉपी करने के लिए सर्वर की स्थापना की प्रतीक्षा कर रहे हैं। रूट पासवर्ड मेल पर भेजा जाएगा, या इसे वेब-इंटरफ़ेस के माध्यम से मैन्युअल रूप से सेट किया जा सकता है। अगला, हम सभी कमांड दर्ज करते हैं

चरण 2: स्ट्रांगस्वान स्थापित करें

हम SSH क्लाइंट से जुड़े हैं और इंस्टॉलेशन स्क्रिप्ट चलाते हैं:

#     IKEv2 
wget https://raw.githubusercontent.com/jawj/IKEv2-setup/master/setup.sh
chmod u+x setup.sh
./setup.sh
....
#      IP- 
#   sslip.io     
Hostname for VPN: 123-45-67-89.sslip.io
#   VPN
VPN username: coolguy
#  
VPN password (no quotes, please):
....
#     SSH-,    .

चरण 3: क्लाइंट सेटअप

दर्ज किए गए वीपीएन उपयोगकर्ता विवरण को अब क्लाइंट पर कॉन्फ़िगरेशन के लिए उपयोग किया जाना चाहिए। वीपीएन के लिए होस्टनाम में आपके द्वारा दर्ज डोमेन नाम का उपयोग करना महत्वपूर्ण है ।

चरण 4: नए उपयोगकर्ता जोड़ें

पहले से बने सर्वर में एक नया उपयोगकर्ता जोड़ने के लिए /etc/ipsec.sectes फ़ाइल संपादित करें ।

# nano /etc/ipsec.secrets
123-45-67-89.sslip.io : RSA "privkey.pem"
coolguy : EAP "C00lPassword"
badguy : EAP "bAdP$$word"

उपयोगकर्ता को जोड़ने के बाद, ipsec सीक्रेट्स कमांड चलाएं ताकि स्ट्रॉन्ग्सवान कॉन्फ़िगरेशन को फिर से पढ़ें।

निष्कर्ष

हमने IKEv2 के उपयोगकर्ता अनुभव की समीक्षा की। ऐसे सर्वर का प्रशासन अधिक जटिल नहीं है, और कभी-कभी ओपनवीपीएन की तुलना में भी आसान है। यदि आप केवल अपने कर्मचारियों के लिए रिमोट एक्सेस को व्यवस्थित करने की योजना बनाते हैं, तो IKEv2 की ओर देखना सुनिश्चित करें। अपने उपयोगकर्ताओं को अनावश्यक कार्यक्रमों को स्थापित करने के लिए मजबूर न करें यदि आपके लिए आवश्यक सब कुछ पहले से ही उनके कंप्यूटर पर है। यह अधिक सुविधाजनक, सुरक्षित और बहुत अधिक उन्नत है।

क्यों मैं अन्य वीपीएन से अधिक IKEv2 प्यार करता हूँ