این صفحه دستورالعمل‌هایی را برای اپراتورهای شبکه ارائه می‌دهد تا اطمینان حاصل شود که برنامه‌های شبکه خصوصی مجازی (VPN) مصرف‌کننده و سازمانی تجربه خوبی برای کاربر نهایی در شبکه‌هایشان فراهم می‌کنند. Android کلاس
VpnManager
را برای توسعه‌دهندگان فراهم می‌کند تا راهکارهای VPN ایجاد کنند، که توسط مصرف‌کنندگان و
شرکت‌ها برای رمزگذاری ارتباطاتشان یا هدایت آن‌ها به شبکه‌های مختلف استفاده می‌شود.
توصیه می‌کنیم که گردانندگان شبکه از این دستورالعمل‌ها پیروی کنند:
- از پروتکل «بار امنیتی کپسولی‌سازی IPv6» (بسته‌های «سرصفحه بعدی ۵۰») در شبکه‌تان پشتیبانی کنید و مطمئن شوید که این ترافیک عملکردی قابل‌مقایسه با اتصالات پروتکل داده‌گرام کاربر (UDP) یا پروتکل کنترل انتقال (TCP) دارد. جلسه‌های ESP باید به دستگاه‌ها اجازه ورود داشته باشند یا روی زمان استراحت بسیار بالا تنظیم شوند و با نرخ خط بازارسال شوند.
- مهلت‌های زمانی ترجمه نشانی شبکه (NAT) و دیوار آتش حالت‌دار را که حداقل ۶۰۰ ثانیه برای اتصالات UDP در درگاه ۴۵۰۰ است تنظیم کنید تا راه‌حل‌های VPN بتوانند اتصال‌پذیری مطمئن را بدون متحمل شدن هزینه‌های زیاد برق حفظ کنند.
از بسته‌های پروتکل IPv6 ESP (سرصفحه بعدی ۵۰) پشتیبانی کنید
«بار امنیتی کپسولی» (ESP) قالب بسته‌ای است که به‌عنوان بخشی از مجموعه پروتکل‌های «امنیت پروتکل اینترنت» (IPSec) برای رمزگذاری و اصالت‌سنجی بسته‌ها در راه‌حل VPN تعریف شده است. سیستم‌عامل Android این پروتکل امنیتی استاندارد را در راهکار VPN داخلی خود پیاده‌سازی می‌کند.
در شبکه‌های سازگار با IPv6، بسته‌های ESP مستقیماً در بسته‌های IPv6 با فیلد «سرایند بعدی» ۵۰ حمل می‌شوند. اگر شبکه‌ای به‌درستی از این نوع بسته‌ها پشتیبانی نکند، می‌تواند باعث عدم اتصال برای راه‌حل‌های وی‌پی‌ان شود که هدفشان استفاده از این پروتکل بدون کپسوله‌سازی بیشتر بسته‌ها است. ممکن است شبکه این بسته‌ها را به‌دلیل پیکربندی دیوار آتش حذف کند. یا بسته‌های ESP ممکن است در مسیرهای کند شبکه قرار بگیرند و عملکرد گذردهی آن‌ها در مقایسه با اتصالات TCP یا UDP به‌شدت کاهش یابد.
«کارگروه مهندسی اینترنت» (IETF) توصیه می‌کند که اجازه دهید IPsec ازطریق دیواره‌های آتش مورداستفاده سرویس‌های دسترسی به اینترنت مصرف‌کننده عبور کند. برای مثال، به RFC 6092 بخش ۳.۲.۴ مراجعه کنید. بسته‌های ESP را می‌توان به‌طور ایمن از فایروال‌ها در هر دو جهت عبور داد زیرا اگر دستگاهی بسته ESP دریافت کند که بخشی از انجمن امنیتی موجود نباشد، دستگاه بسته را حذف می‌کند. درنتیجه، دستگاه برای حفظ اتصال وی‌پی‌ان نیازی به ارسال بسته‌های زنده نگه داشتن ندارد، که باعث صرفه‌جویی در عمر باتری می‌شود. توصیه می‌کنیم که شبکه‌ها یا همیشه به بسته‌های ESP اجازه دهند به دستگاه‌ها دسترسی داشته باشند، یا فقط پس‌از دوره‌های طولانی عدم فعالیت (برای مثال، ۳۰ دقیقه) جلسه‌های ESP را منقضی کنند.
توصیه می‌کنیم که اپراتورهای شبکه از بسته‌های پروتکل ESP (بسته‌های IPv6 با Next Header ۵۰) در شبکه‌هایشان پشتیبانی کنند و آن بسته‌ها را در سخت‌افزار با نرخ خط بازارسال کنند. این کار تضمین می‌کند که راهکارهای VPN با مشکلات اتصال مواجه نشوند و عملکردی قابل‌مقایسه با اتصالات UDP یا TCP ارائه دهند.
مهلت‌های کافی برای NAT و دیوار آتش حالت‌دار تنظیم کنید
برای حفظ قابلیت اطمینان اتصال، راهکار وی‌پی‌ان باید اتصال طولانی‌مدتی را به سرور وی‌پی‌ان که اتصال خروجی و ورودی را فراهم می‌کند حفظ کند (برای مثال، برای دریافت اعلان‌های لحظه‌ای ورودی، پیام‌های گپ، و تماس‌های صوتی یا تصویری). بیشتر برنامه‌های IPsec VPN از ESP کپسوله‌شده در بسته‌های IPv4 UDP با درگاه مقصد ۴۵۰۰ استفاده می‌کنند، همان‌طور که در RFC 3948 توضیح داده شده است.
برای حفظ این اتصال، دستگاه باید به‌طور دوره‌ای بسته‌هایی به سرور ارسال کند. این بسته‌ها باید با فرکانس بالاتری نسبت به زمان‌های وقفه NAT و دیوارآتش که توسط اپراتور شبکه اعمال می‌شود ارسال شوند. ارسال مکرر پیام‌های «زنده نگه داشتن» در سمت کارخواه مصرف انرژی بالایی دارد و تأثیر قابل‌توجهی بر عمر باتری می‌گذارد. این دستگاه‌ها همچنین ترافیک نشان‌دهی قابل‌توجهی در شبکه ایجاد می‌کنند، حتی اگر دستگاه در غیراین‌صورت در حالت آماده‌به‌کار باشد.
توصیه می‌کنیم که شرکت‌های مخابراتی مهلت‌های زمانی NAT و دیوار آتش حالت‌دار را به‌اندازه کافی افزایش دهند تا از تأثیر بر باتری جلوگیری شود. مهلت زمانی توصیه‌شده برای کپسوله کردن IPsec UDP (درگاه ۴۵۰۰) ۶۰۰ ثانیه یا بیشتر است.
در شبکه‌های تلفن همراه، زمان‌بندی‌های UDP NAT اغلب پایین نگه داشته می‌شوند زیرا کمبود آدرس IPv4 باعث می‌شود که عوامل استفاده مجدد از درگاه بالا باشد. بااین‌حال، وقتی وی‌پی‌ان برقرار می‌شود، شبکه دستگاه نیازی به پشتیبانی از اتصال‌های TCP طولانی‌مدت، مثل اتصال‌های مورداستفاده برای ارائه اعلان‌های ورودی ندارد. بنابراین تعداد اتصالات طولانی‌مدت که شبکه باید پشتیبانی کند، هنگام اجرای وی‌پی‌ان در مقایسه با زمانی که وی‌پی‌ان اجرا نمی‌شود، یکسان یا کمتر است.