Kufafanua L2TP: Usanifu Nyuma ya Itifaki ya Urundishaji wa Safu ya 2

Katika historia ya mageuzi ya mtandao wa kibinafsi wa kawaida, L2TP (Layer 2 Tunneling Protocol) inasimama kama daraja muhimu kati ya miundombinu ya zamani ya kutumia simu na usalama wa kisasa wa kriptografia. Ilifafanuliwa rasmi katika RFC 2661, L2TP ni itifaki ya safu ya kikao inayounganisha sifa bora za fremu mbili zilizopitwa na wakati: PPTP ya Microsoft (Point-to-Point Tunneling Protocol) na L2F ya Cisco (Layer 2 Forwarding).

Inafanya kazi kwenye Safu ya Uunganisho wa Data (Safu ya 2) ya mfano wa OSI, lengo kuu la L2TP’s ni kufunga fremu za Itifaki ya Point-to-Point (PPP) ili ziweze kubebwa katika mitandao ya kubadilisha pakiti kama IP, Frame Relay, au ATM.

⚠️ Kitendawili cha Uwazi

Kwa mtazamo wa ukaguzi wa usalama safi, L2TP ni wazi kihalisi. Inajenga barabara kuu ya pepe lakini haitoi gari la kivita; haina njia zozote za asili za usimbaji data au uthibitishaji asili. Ili kulinda data inayosafirishwa, karibu kila mahali huunganishwa na mfumo wa Usalama wa Itifaki ya Mtandao, na kuunda kifurushi cha L2TP/IPsec.

Anatomi ya Muunganisho wa L2TP: LAC hadi LNS

Ili kuelewa jinsi L2TP inavyounganisha mgawanyiko wa kijiografia, lazima uelewe sehemu zake mbili za msingi za usanifu:

• LAC (Mkusanyiko wa Ufikiaji wa L2TP): Mwasisi wa handaki. Hiki ni kifaa (kama seva ya ufikiaji wa mtandao wa ISP au mteja wa ndani) ambacho kinamaliza muunganisho wa ndani kimaumbile na kupeleka trafiki ndani ya handaki la L2TP.
• LNS (Seva ya Mtandao ya L2TP): Kipokezi na sehemu ya mwisho ya kimantiki ya tuneli. LNS inavua kifurushi cha pakiti za L2TP zinazoingia, inatoa framu za asili za PPP, na inajumuisha mtumiaji wa mbali kwenye mtandao wa kampuni wa ndani.

Uchambuzi wa Kina wa Kiufundi: Vipengele vya Msingi & Itifaki

L2TP inabakia kuwa na uwezo wa kipekee katika mazingira magumu ya ushirika kutokana na uwezo kadhaa usio wa kawaida:

• Msaada wa Itifaki Nyingi: Tofauti na itifaki za kisasa ambazo husafirisha trafiki asilia ya IP pekee, L2TP hufunga fremu za kawaida za PPP. Hii inairuhusu kusafirisha itifaki za urithi zisizo za IP kwenye mtandao wa msingi wa IP.
• Uthibitishaji unaobadilika: Inaunganishwa kwa asili na usanifu thabiti wa AAA (Uthibitishaji, Uidhinishaji, na Uhasibu), ikitumia mifumo ya uthibitishaji kama PAP, CHAP, MS-CHAPv2, na EAP.
• Utengano wa Chaneli Mbili: L2TP hutenganisha kwa ukali ndege yake ya udhibiti (inayoshughulikia uundaji wa handaki, keep-alives, na teardown) kutoka kwa ndege yake ya data (inayobeba mizigo halisi), ikiboresha uthabiti wa matokeo.

Weighing the Pros and Cons of L2TP/IPsec

Faida

• Msaada wa Asili Unaotanda: L2TP/IPsec imejengwa moja kwa moja kwenye kernels za Windows, macOS, iOS, Linux, na Android. Mara chache inahitaji watumiaji kupakua programu za nje za wahusika wengine.
• Uthabiti wa Kikao Imara: Ni ya kuaminika sana kwa kudumisha miunganisho ya hatua kwa hatua ya kimantiki katika njia ngumu za usambazaji wa WAN za biashara zenye kuruka nyingi.

Ubaya

• Adhabu ya Kufungwa Mara Mbili: Kwa sababu pakiti za data zimeundwa kwa vichwa vya PPP, kisha kufungwa kwa vichwa vya L2TP, na hatimaye kufungwa tena kwa vichwa vya IPsec, uwekaji wa data ni mkubwa sana. Ufungaji-maradufu huu hutumia nguvu ya usindikaji wa CPU na kupunguza ufanisi wa upitishaji.
• Masuala ya MTU & Kugawanyika: Mrundikano mzito wa vichwa hulazimisha wahandisi wa mtandao kupunguza kwa njia bandia hiyo Kipimo cha Juu cha Usambazaji (MTU) ukubwa (mara nyingi chini ya 1400 au 1280 byte). Iwapo haijaboreshwa, hii husababisha kuvunjika kwa pakiti, na kusababisha latency ya juu na muunganisho unaoacha.
• Udhaifu wa Firewall: L2TP inategemea kabisa kwenye profaili za bandari dhahiri: UDP 1701 (trafiki ya L2TP), UDP 500 (ubadilishaji ufunguo wa IKE), na UDP 4500 (NAT Traversal). Kwa sababu bandari hizi ni zisizobadilika na zinavyotambulika, ngome za mtandao na Watoa Huduma za Mtandao (ISPs) zinaweza kuzizuia kwa urahisi.

Maswali ya Kiteknolojia

Q: Kwa nini wataalamu wa usalama wanaiita L2TP “imepita wakati” ingawa inatumia IPsec kali?

Ingawa sehemu ya IPsec yenyewe inabaki salama wakati wa kutumia misimbo yenye nguvu kama AES-256, muundo wa jumla wa L2TP ni wa kizamani. Msimbo wake mkubwa unaleta eneo la mashambulizi la nadharia pana, na ufungaji wake wa vipodozi mara mbili hufanya iwe haijaboreshwa kwa miundombinu ya kisasa ya kasi ikilinganishwa na suluhisho nyepesi kama WireGuard.

Q: Je, NAT Traversal (NAT-T) inafanyaje kazi na L2TP/IPsec?

Kwa sababu pakiti za IPsec AH na ESP zinaweza kuvunjika zinapopitia kwenye router inayofanya Tafsiri ya Anwani ya Mtandao (NAT hubadilisha vichwa vya IP, ambayo inaweka batili ukaguzi wa uadilifu wa IPsec), NAT-T hufunga pakiti za IPsec zilizosimbwa ndani ya pakiti za kawaida za UDP kwenye bandari 4500. Hili linamdanganya router ya nyumbani kupitisha trafiki ya VPN kwa usalama bila kuharibu sahihi za kriptografia.

Je, L2TP inaweza kufanya kazi kwa usalama bila IPsec?

Kwa kiwango cha kiufundi ndiyo, lakini haipaswi kamwe kusanidiwa kwa njia hii kwenye mitandao ya umma. Bila IPsec, njia ya L2TP hufanya kazi katika maandishi wazi kabisa. Mtu yeyote aliye na zana ya msingi ya kukamata pakiti (kama Wireshark) anaweza kusoma data ghafi ya kampuni yako, vitambulisho vya shirika, na maelezo ya kikao kwa urahisi.

Swali: Kwa nini vifaa vingi nyuma ya router moja ya nyumbani wakati mwingine vinashindwa kuunganishwa kwenye VPN ya L2TP/IPsec kwa wakati mmoja?

Hii ni kikwazo cha kawaida cha L2TP/IPsec kinachojulikana kama tatizo la Uchoraji wa Kitu Kimoja cha NAT-T. Kwa sababu L2TP hutegemea milango isiyobadilika (UDP 4500 kwa NAT-T na UDP 500), vifaa vingi vya msingi vya watumiaji haviwezi kuweka ramani ya mikondo inayofuatiliwa ya SPI (Security Parameter Index) iliyosimbwa inayofanana kwa anwani nyingi za IP za ndani binafsi kwa wakati mmoja. Ingawa itifaki za kisasa kama OpenVPN na WireGuard hubadilisha milango ya chanzo kwa njia tindikali ili kusaidia mamia ya vikao vinavyofanya kazi kwa wakati mmoja kutoka kwa mtandao huo wa ndani, L2TP/IPsec mara nyingi hupunguza kasi au kuacha kabisa kifaa cha pili kinachojaribu kuungana kutoka nyuma ya firewall hiyo hiyo ya NAT.

Sw: Je, ni hatari gani ya usalama ya kutumia Ufunguo wa Kushirikiwa Kabla (PSK) katika utumiaji wa L2TP/IPsec?

L2TP/IPsec inapotumwa kwa kutumia Ufunguo Ulioshirikiwa Awali (mara nyingi huitwa “L2TP yenye Ufunguo wa Siri”), kila mfanyakazi au mtumiaji hutumia nenosiri tuli sawa kabisa kuanzisha muunganiko. Ikiwa kifaa cha mfanyakazi mmoja kimeathiriwa, au mfanyakazi wa zamani anabakisha ufunguo, mtandao mzima uko wazi. Washambuliaji wanaweza kutumia PSK hii iliyovuja kuanzisha sehemu za ufikiaji za kughushi na kutekeleza mashambulizi ya kufichua Man-in-the-Middle (MITM) yaliyolengwa sana. Kwa ukaguzi wa usalama wa kiwango cha juu cha biashara, kuhamia kutoka PSK hadi Vyeti vya Kidiijitali vya X.59 binafsi kupitia EAP-TLS inapendekezwa kwa wote.

Swali: Kwa nini L2TP/IPsec ina mzigo mkubwa wa CPU ikilinganishwa na itifaki za kisasa?

Kikwazo cha utendaji kinatokana na usanifu na ufanisi wa kriptografia. L2TP inalazimisha data kupitia mfumo wa programu wa tabaka nyingi ndani ya mpaka wa nafasi ya mtumiaji na nafasi ya kernel, ikitekeleza ufungashaji mara mbili (PPP juu ya L2TP juu ya IPsec). Zaidi ya hayo, inategemea mbinu za zamani za kriptografia. Njia mbadala za kisasa kama WireGuard zimeandikwa moja kwa moja kwenye msimbo wa kernel ya OS, zinapita kabisa tabaka la zamani la PPP, na hutumia visawe vilivyosawazishwa kwa usawa kama ChaCha20-Poly1305. Hii inaruhusu itifaki za kisasa kufikia hadi mara 3–4 zaidi ya upitishaji huku zikitumia nguvu ndogo ya betri na CPU kwenye vifaa vya mkononi.

Swali: Je, L2TP/IPsec inashughulikia vipi firewall za kisasa za Ukaguzi wa Kina wa Pakiti (DPI)?

Inataabika sana. Kwa sababu L2TP/IPsec inategemea kabisa mazingira maalum na yasiyobadilika ya milango (UDP 1701, 500, na 4500) na huacha mazingira ya metadata yasiyofichwa wakati wa mchakato wa kushikana mikono, ni shabaha rahisi sana kwa zana za Deep Packet Inspection (DPI) zinazotumiwa na firewall za mashirika, ISP, na mifumo ya udhibiti wa taifa. Tofauti na itifaki zinazotegemea SSL kama OpenVPN (ambazo zinaweza kuchanganyika bila matatizo kwa kupeleka trafiki kupitia TCP Port 443 ili kuonekana kama trafiki ya kawaida ya benki ya HTTPS), trafiki ya L2TP/IPsec inaweza kutambuliwa na kuzuiwa mara moja kwa sheria moja ya firewall.

Q: Nini hutokea kwa kikao cha L2TP/IPsec kinachotumika wakati wa kukatika kwa mtandao ghafla au mpito?

Tofauti na IKEv2 (ambayo inatumia kiendelezi cha hali ya juu cha MOBIKE kubadili kwa urahisi kutoka Wi-Fi hadi 5G bila kuvunja), L2TP/IPsec ya kawaida hushughulikia uhamaji wa mtandao vibaya. Kwa sababu muunganisho wa msingi unafungamana kwa uthabiti na kipindi cha PPP (Point-to-Point Protocol) cha mantiki iliyobanwa, mabadiliko yoyote ya ghafla katika anwani ya nje ya IP ya mteja husababisha handaki kunyongwa. L2TP Network Server (LNS) lazima isubiri vipima muda vya Dead Peer Detection (DPD) vimwe (mara nyingi huchukua sekunde 30 hadi 60) kabla ya kuharibu rasmi handaki lililokufa na kuruhusu kifaa cha mtumiaji kuthibitisha upya na kuanzisha upya muunganisho mpya kabisa.