इस पेज पर, नेटवर्क ऑपरेटर के लिए दिशा-निर्देश दिए गए हैं. इनसे यह पक्का किया जा सकता है कि उपभोक्ता और एंटरप्राइज़ वर्चुअल प्राइवेट नेटवर्क (वीपीएन) ऐप्लिकेशन, उनके नेटवर्क में उपयोगकर्ताओं को अच्छा अनुभव दें. Android, डेवलपर के लिए VpnManager क्लास उपलब्ध कराता है, ताकि वे वीपीएन के समाधान बना सकें. उपभोक्ता और एंटरप्राइज़, अपने डेटा को एन्क्रिप्ट करने या उसे अलग-अलग नेटवर्क पर भेजने के लिए, इस क्लास का इस्तेमाल करते हैं.
हमारा सुझाव है कि नेटवर्क ऑपरेटर इन दिशा-निर्देशों का पालन करें:
- अपने नेटवर्क पर आईपीवी6 एनकैप्सुलेटिंग सिक्योरिटी पेलोड (ईएसपी) प्रोटोकॉल (नेक्स्ट हेडर 50) पैकेट के साथ काम करना. इससे यह पक्का होता है कि इस ट्रैफ़िक की परफ़ॉर्मेंस, यूज़र डेटाग्राम प्रोटोकॉल (यूडीपी) या ट्रांसमिशन कंट्रोल प्रोटोकॉल (टीसीपी) कनेक्शन के बराबर हो. ईएसपी सेशन को डिवाइसों पर इनबाउंड करने की अनुमति दी जानी चाहिए या उन्हें बहुत ज़्यादा टाइम आउट पर सेट किया जाना चाहिए. साथ ही, उन्हें लाइन रेट पर फ़ॉरवर्ड किया जाना चाहिए.
- नेटवर्क पते का अनुवाद (एनएटी) और स्टेटफ़ुल फ़ायरवॉल के टाइम आउट सेट करें, जो पोर्ट 4500 पर यूडीपी कनेक्शन के लिए कम से कम 600 सेकंड के हों. इससे यह पक्का किया जा सकता है कि वीपीएन समाधान, बिजली की ज़्यादा खपत किए बिना भरोसेमंद कनेक्टिविटी बनाए रख सकें.
IPv6 ESP प्रोटोकॉल (नेक्स्ट हेडर 50) पैकेट के साथ काम करना
पैकेट को सुरक्षित करने वाला पल्यलोड (ईएसपी), पैकेट का फ़ॉर्मैट होता है. इसे इंटरनेट प्रोटोकॉल सिक्योरिटी (आईपीएसईसी) के प्रोटोकॉल के हिस्से के तौर पर तय किया गया है. इसका इस्तेमाल, वीपीएन समाधान में पैकेट को एन्क्रिप्ट (सुरक्षित) करने और उनकी पुष्टि करने के लिए किया जाता है. Android OS, अपने डिवाइस में पहले से मौजूद वीपीएन समाधान में इस स्टैंडर्ड सुरक्षा प्रोटोकॉल को लागू करता है.
IPv6 नेटवर्क पर, ESP पैकेट सीधे IPv6 पैकेट में भेजे जाते हैं. इन पैकेट में, अगले हेडर फ़ील्ड की वैल्यू 50 होती है. अगर कोई नेटवर्क इस तरह के पैकेट के साथ ठीक से काम नहीं करता है, तो वीपीएन के उन समाधानों के लिए कनेक्शन की समस्या हो सकती है जो पैकेट को और एनकैप्सुलेट किए बिना इस प्रोटोकॉल का इस्तेमाल करना चाहते हैं. फ़ायरवॉल कॉन्फ़िगरेशन की वजह से, नेटवर्क इन पैकेट को छोड़ सकता है. इसके अलावा, हो सकता है कि ईएसपी पैकेट, नेटवर्क पर धीमे पाथ पर पहुंच जाएं. इससे टीसीपी या यूडीपी कनेक्शन की तुलना में, थ्रूपुट की परफ़ॉर्मेंस काफ़ी खराब हो जाती है.
इंटरनेट इंजीनियरिंग टास्क फ़ोर्स (आईईटीएफ़) का सुझाव है कि उपभोक्ता इंटरनेट ऐक्सेस सेवाओं के लिए इस्तेमाल किए जाने वाले फ़ायरवॉल के ज़रिए, आईपीएसईसी को अनुमति दी जाए. उदाहरण के लिए, आरएफ़सी 6092 का सेक्शन 3.2.4 देखें. ईएसपी पैकेट को फ़ायरवॉल के ज़रिए, दोनों दिशाओं में सुरक्षित तरीके से भेजा जा सकता है. ऐसा इसलिए, क्योंकि अगर किसी डिवाइस को कोई ऐसा ईएसपी पैकेट मिलता है जो किसी मौजूदा सुरक्षा असोसिएशन का हिस्सा नहीं है, तो डिवाइस उस पैकेट को छोड़ देता है. इस वजह से, डिवाइस को वीपीएन कनेक्शन बनाए रखने के लिए, 'कनेक्शन बनाए रखें' पैकेट भेजने की ज़रूरत नहीं पड़ती. इससे बैटरी लाइफ़ बचती है. हमारा सुझाव है कि नेटवर्क, डिवाइसों को हमेशा ईएसपी पैकेट भेजने की अनुमति दें या लंबे समय तक कोई गतिविधि न होने पर (उदाहरण के लिए, 30 मिनट) ही ईएसपी सेशन को टाइम आउट करें.
हमारा सुझाव है कि नेटवर्क ऑपरेटर अपने नेटवर्क पर ईएसपी प्रोटोकॉल पैकेट (50 के अगले हेडर वाले आईपीवी6 पैकेट) का इस्तेमाल करें और उन पैकेट को हार्डवेयर में, लाइनों की दर पर फ़ॉरवर्ड करें. इससे यह पक्का होता है कि वीपीएन सलूशन में कनेक्टिविटी से जुड़ी समस्याएं न आएं और यूडीपी या टीसीपी कनेक्शन के बराबर परफ़ॉर्मेंस मिल सके.
ज़रूरत के मुताबिक NAT और स्टेटफ़ुल फ़ायरवॉल टाइम आउट सेट करना
कनेक्शन को भरोसेमंद बनाए रखने के लिए, वीपीएन सर्वर से लंबे समय तक कनेक्ट रहना ज़रूरी है. यह सर्वर, आउटबाउंड और इनबाउंड कनेक्टिविटी देता है. उदाहरण के लिए, इनकमिंग पुश सूचनाएं, चैट मैसेज, और ऑडियो या वीडियो कॉल पाने के लिए. ज़्यादातर आईपीएसईसी वीपीएन ऐप्लिकेशन, डेस्टिनेशन पोर्ट 4500 के साथ आईपीवी4 यूडीपी पैकेट में एन्कैप्सुलेट किए गए ईएसपी का इस्तेमाल करते हैं. इस बारे में आरएफ़सी 3948 में बताया गया है.
इस कनेक्शन को बनाए रखने के लिए, डिवाइस को समय-समय पर सर्वर को पैकेट भेजने होंगे. इन पैकेट को नेटवर्क ऑपरेटर के तय किए गए NAT और फ़ायरवॉल टाइम आउट से ज़्यादा फ़्रीक्वेंसी पर भेजा जाना चाहिए. क्लाइंट साइड पर बार-बार keepalives करने से ज़्यादा बैटरी खर्च होती है. साथ ही, इससे बैटरी लाइफ़ पर भी काफ़ी असर पड़ता है. ये डिवाइस, नेटवर्क पर सिग्नल ट्रैफ़िक भी जनरेट करते हैं. भले ही, डिवाइस में कोई गतिविधि न हो रही हो.
हमारा सुझाव है कि ऑपरेटर, बैटरी पर असर न पड़े, इसके लिए NAT और स्टेटफ़ुल फ़ायरवॉल के टाइम आउट को ज़्यादा से ज़्यादा बढ़ाएं. हमारा सुझाव है कि IPsec UDP एनकैप्सुलेशन (पोर्ट 4500) के लिए, टाइम आउट 600 सेकंड या उससे ज़्यादा होना चाहिए.
मोबाइल नेटवर्क में, यूडीपी NAT टाइम आउट को अक्सर कम रखा जाता है, क्योंकि आईपीवी4 पते की कमी की वजह से पोर्ट का फिर से इस्तेमाल करने की संभावना ज़्यादा होती है. हालांकि, वीपीएन सेट अप होने पर, डिवाइस के नेटवर्क को लंबे समय तक चलने वाले टीसीपी कनेक्शन के साथ काम करने की ज़रूरत नहीं होती. जैसे, इनबाउंड सूचनाएं डिलीवर करने के लिए इस्तेमाल किए जाने वाले कनेक्शन. इसलिए, वीपीएन के चालू होने पर, नेटवर्क को लंबे समय तक चलने वाले उतने ही या उससे कम कनेक्शन के साथ काम करना पड़ता है जितने कनेक्शन के साथ उसे वीपीएन के बंद होने पर काम करना पड़ता है.