Access Server سے Community OpenVPN تک: کیا دوبارہ تعمیر کرنا ہے

Access Server اور Community OpenVPN ایک ہی پروٹوکول بولتے ہیں اور باقی تقریباً کچھ بھی ایک جیسا نہیں۔ ہینڈ شیک، سائفر گفتگو اور ٹنل کا ڈیٹا طیارہ ہم آہنگ ہیں، اس لیے کلائنٹ اکثر اپنا پروفائل بدلے بغیر دونوں سے جڑ سکتا ہے۔ فرق یہ ہے کہ ترتیب کس کی ملکیت ہے: ایک پروڈکٹ ایسی انتظامی تہہ لاتی ہے جو پالیسی لکھتی اور نافذ کرتی ہے، دوسری آپ کو کنفگ فائل اور چند ہکس دیتی ہے اور توقع کرتی ہے کہ آپ فیصلہ کریں۔

یہی فرق منتقلی کا منصوبہ ہے۔ پرانی پروڈکٹ نے آپ کی طرف سے جو بھی فیصلہ کیا، اسے نئی تنصیب میں کہیں واضح فیصلہ بننا ہوگا۔

جہاں دونوں تنصیبات ایک دوسرے کے بدل نہیں رہتیں

Access Server میں، ویب انتظامی انٹرفیس صارفین، گروہوں، فی صارف اجازتوں، سرٹیفکیٹ جاری کرنے اور اس پروفائل بنڈل کا مالک ہے جو کوئی شخص ڈاؤن لوڈ کرتا ہے۔ نیچے کا ڈیمن اسی تہہ سے تشکیل پاتا ہے، اس لیے چلتی سروس ہاتھ سے کم تبدیل ہونے والی محفوظ حالت کا نتیجہ ہے۔ Community OpenVPN میں کنفگ فائل ہی حالت ہے: یہ سننے والے، سرٹیفکیٹ اتھارٹی، تصدیق کے ہک اور ہر بھیجے گئے اختیار کا نام لیتی ہے، اور کوئی چیز آپ کی طرف سے اسے دوبارہ نہیں لکھتی۔ اسی لیے وہی TLS مشین دو بہت مختلف ملکیت کے ماڈلوں کے تحت ہے۔

مختصر نقشہ خلا کو ٹھوس بناتا ہے۔ صارفین اور گروہ صرف پرانے ڈیٹابیس میں ہیں جب تک آپ انہیں دوبارہ نہ بنائیں۔ پروفائل بنڈل ایک کنفگ فائل اور وہ سرٹیفکیٹ بن جاتے ہیں جو آپ خود تقسیم کرتے ہیں۔ فی صارف اجازتیں client-config-dir میں ہدایات بن جاتی ہیں۔ انتظامی انٹرفیس وہ عمل بن جاتا ہے جو آپ سرٹیفکیٹ جاری کرنے اور فائلیں ترمیم کرنے کے لیے چنتے ہیں۔

سرور کو چھونے سے پہلے یہ نقشہ لکھ لیں۔ ہر وہ سطر جو آپ نہیں بھر سکتے، وہ خصوصیت ہے جو آپ ابھی کھونے والے ہیں، اور خاموشی سے کھونا ہی وہ راستہ ہے جس سے منتقلی دو ہفتے بعد رکاوٹ بنتی ہے۔

شناخت سرٹیفکیٹ فائلوں کے ساتھ منتقل نہیں ہوتی

پرانے اتھارٹی کے سرٹیفکیٹ نئی سروس میں درست طریقے سے پارس ہو سکتے ہیں اور پھر بھی غلط شناخت ہو سکتے ہیں، کیونکہ پرانی پروڈکٹ نے انہیں ایسی اکاؤنٹ حالت سے جوڑا تھا جو نئی نہیں دیکھ سکتی۔ پہلے فیصلہ کریں کہ نئی تنصیب صرف سرٹیفکیٹ سے، PAM یا RADIUS تک پہنچنے والے پلگ ان سے، یا کسی امتزاج سے تصدیق کرتی ہے، پھر جانچیں کہ ہر اختیار مطلوبہ خصوصیات برقرار رکھتا ہے۔ فی صارف شناخت کے بغیر مشترکہ سرٹیفکیٹ اسے رکھنے والے سب کے لیے ایک ہی اسناد ہے۔ منسوخی بھی پہلے دن سے کام کرنی چاہیے، جس کا Community OpenVPN میں مطلب crl-verify کے حوالے سے CRL فائل اور اسے دوبارہ بنانے والا عمل ہے۔

منتقلی سے پہلے اندراج کا منصوبہ بنائیں، بعد میں نہیں۔ نئے سرٹیفکیٹ، آزمودہ منسوخی راستہ اور ایک شخص کو غیر فعال کرنے کا دستاویزی طریقہ پیشگی شرائط ہیں، بعد کا کام نہیں۔ اگر کثیر الاسباب تصدیق پرانی پروڈکٹ کے انضمام سے آئی تھی تو متبادل کا صریح نام لیں، کیونکہ نصب نہ شدہ پلگ ان بدترین لمحے میں بند ہو کر ناکام ہوتا ہے۔

روٹنگ اور ناموں کا حل کنفگ لکھنے والے کی پیروی کرتے ہیں

راستے، DNS ترتیبات اور مکمل ٹنل کا رویہ دونوں پروڈکٹوں میں بھیجے گئے اختیارات ہیں، مگر آپ کے لیے ان کا حساب صرف ایک کرتا ہے۔ Community OpenVPN میں آپ خود push ہدایات لکھتے ہیں، فیصلہ کرتے ہیں کہ redirect-gateway سرور کا ہے یا کلائنٹ کا، اور تصدیق کرتے ہیں کہ ہوسٹ پر فارورڈنگ اور NAT موجود ہیں۔ مکمل ہونے والا ہینڈ شیک فارورڈنگ، پتہ ترجمہ یا ان راستوں کے بارے میں کچھ نہیں بتاتا جو کلائنٹ کو واقعی ملے۔

فی کلائنٹ رویے کے لیے client-config-dir اور کلائنٹ کے سرٹیفکیٹ کے common name پر نامزد فائل درکار ہے، اور سائٹ سے سائٹ جوڑی کے لیے اس کے پیچھے کے سابقوں کے لیے iroute اندراجات درکار ہیں۔ نام غلط ہو تو اختیارات بغیر کسی خرابی کے نظر انداز کر دیے جاتے ہیں۔ ایک غیر پیداواری کلائنٹ کے ساتھ اس کے اپنے پتہ تالاب میں آزمائیں، پھر اسے دیا گیا پتہ، ملے راستے اور وہ ریزولور ترتیبات پڑھیں جن پر وہ ختم ہوا۔

منتقلی کو اس ترتیب سے رکھیں کہ پرانی سروس واپس آ سکے

نیا سننے والا کسی دوسرے پورٹ یا پتے پر چلائیں، اور متبادل ثابت کرنے کے دوران پرانے کو ٹریفک کی خدمت کرنے دیں۔ ایک ساکٹ پر دو ڈیمن واپسی کا منصوبہ نہیں۔

ایک وقت میں ایک گروہ منتقل کریں، اس کے سرٹیفکیٹ، تالاب اور راستوں کے ساتھ، اور واپسی کے راستے کی مشق کریں بجائے اس کے کہ واقعے کے دوران دریافت کریں۔ وہ واپسی جو صرف اسی صورت کام کرتی ہے جب نئی سروس پہلے بند کی جائے، وہ بھی واپسی ہے، مگر اسے تب جانچنا چاہیے جب کچھ نہ جلا رہا ہو۔

آخر میں، ان خصوصیات کی فہرست بنائیں جن کا براہ راست متبادل نہیں اور ہر ایک کا انجام تحریری طور پر طے کریں: خود خدمت پروفائل ڈاؤن لوڈ، فی صارف اجازت کے پرچم، خود انتظامی انٹرفیس، براہ راست رابطوں کی رپورٹنگ۔ انہیں دستاویزی دستی عمل سے بدلنا جائز جواب ہے۔ سطر خالی چھوڑنا نہیں۔

کام تب مکمل ہوتا ہے جب وہ شخص جو پرانا پورٹل کبھی نہیں دیکھا، اندراج کر سکے، جڑ سکے، مطلوبہ داخلی پتے تک پہنچ سکے اور صاف طریقے سے منسوخ ہو سکے۔ اس سے پہلے کا سب کچھ تیاری ہے۔