ڈکرپشن کے بعد: کون سی پالیسی آپ کی VPN ٹریفک کو پہلے دیکھتی ہے

VPN فلو مکمل طور پر خفیہ اور مکمل طور پر تصدیق شدہ ہو سکتا ہے اور پھر بھی کہیں ایسی جگہ پہنچ سکتا ہے جہاں کسی نے منصوبہ نہیں بنایا۔ جو کیبل آپ لگاتے ہیں وہ طے نہیں کرتی کہ اندرونی پیکٹ کو کون سا قاعدہ پراسس کرتا ہے؛ یہ پالیسی ہک اور راستہ طے کرتے ہیں۔ اسی لیے ریک ڈایاگرام پر یکساں دکھنے والے دو ڈیزائن مکمل طور پر مختلف عمل درآمد رکھ سکتے ہیں۔ ان کے درمیان انتخاب اس کنٹرول کا نام لینے سے شروع ہوتا ہے جو ڈکرپٹ شدہ فلو کو پہلے دیکھتا ہے۔

پورٹ کے بجائے پالیسی ہک سے فیصلہ کریں

ہر VPN پلیٹ فارم آگے بھیجنے سے پہلے کسی مقام پر ڈکرپٹ شدہ ٹریفک کا جائزہ لیتا ہے، اور اس مقام کا کنفیگریشن میں نام ہوتا ہے۔ ایک پلیٹ فارم پر یہ گروپ پالیسی فلٹر ہے، دوسرے پر انٹرفیس پالیسی یا زون جوڑی، اور روٹ کرنے والے آلے پر یہ محض forward زنجیر ہو سکتی ہے۔ ہک قاعدہ نافذ کرتا ہے، جبکہ سوئچ پورٹ صرف وہ جگہ ہے جہاں کیبل ختم ہوتی ہے۔ ہک تلاش کرنا پہلا فیصلہ ہے، کیونکہ باقی سب اس کے مقابلے میں جگہ ہے۔

ہارڈویئر دیکھنے سے پہلے فلو لکھیں: ماخذ کون ہے، کہاں جاتا ہے، کون سا پروٹوکول لے جاتا ہے اور کون سی سروس کی اجازت ہے۔ پھر وہ کنٹرول تلاش کریں جو ان چار حقائق میں سے ہر ایک کو نافذ کرتا ہے۔

دو راستے، عمل درآمد کی دو مختلف کہانیاں

دو شکلیں عام ہیں اور ہر ایک مختلف ضرورت کے لیے درست ہو سکتی ہے۔

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

پہلی شکل گیٹ وے پر ہر ضروری چیز نافذ کر سکتی ہے، بشرطیکہ پالیسی اسی منزل کے لیے لکھی گئی ہو اور سرور کے پاس اس سے بچنے کا راستہ نہ ہو۔ دوسری شکل حد شامل کرتی ہے، لیکن صرف اس صورت میں جب راستے اور پالیسی ٹریفک کو واقعی اس سے گزارتے ہیں۔ آخری نقطے کے ساتھ اسی حصے میں بیٹھا سرور خیالی درمیانی چھلانگ کبھی نہیں لے سکتا۔ ڈایاگرام ارادہ دکھاتا ہے اور روٹ ٹیبل دکھاتی ہے کہ کیا ہوتا ہے۔

تصویر کے بجائے راستے کی تلاش سے تصدیق کریں۔ پیکٹ جس انٹرفیس سے باہر نکلتا ہے اور جو اگلی چھلانگ چنتا ہے، وہی طے کرتے ہیں کہ دوسری شکل ڈیزائن کے مطابق چلتی ہے یا نہیں۔

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

ٹوپولوجی کو علیحدگی سے الگ رکھیں

سب نیٹ بانٹنا کسی جگہ کو ناقابل اعتماد نہیں بناتا، اور مخصوص ترسیل اسے محفوظ نہیں بناتی۔ فیصلہ وہ پابندی کرتی ہے جو واقعی لاگو ہوتی ہے، وہ فارورڈنگ جو واقعی ہوتی ہے اور یہ کہ ہر حصے کا انتظام کون کرتا ہے۔ سوئچ گننا ان تینوں میں سے کسی کے بارے میں کچھ نہیں کہتا۔ پالیسی اور راستے سے فیصلہ کریں، پھر ٹوپولوجی اس فیصلے کی پیروی کرے۔

ٹریفک آبادیوں کو بھی الگ رکھیں۔ دور دراز رسائی کے تالاب، سائٹ سے سائٹ سابقے اور نجی لائن نیٹ ورک ایک ہی آلہ بانٹ سکتے ہیں اور پھر بھی مختلف قواعد چاہیے ہو سکتے ہیں، کیونکہ ان کی شناخت اور خطرہ مختلف ہے۔ ایک آبادی کے لیے لکھا گیا قاعدہ پتہ منصوبہ بانٹنے پر باقیوں کو خاموشی سے ڈھانپ لیتا ہے۔

ہر جگہ کے لیے ناکامی اور انتظام جانچیں

ہر جگہ کا ناکامی کا طریقہ ہے، اور مفید سوال یہ ہے کہ کوئی جزو رکنے پر کیا اب بھی کام کرتا ہے۔ ایک مردہ آلے پر کئی منطقی انٹرفیس خودمختار بحالی نہیں دیتے، اور نیچے کا فائر وال جو وہی بجلی یا وہی منتظم بانٹتا ہے دوسری حد نہیں ہے۔ پوچھیں کہ انتظامی راستہ کہاں سے گزرتا ہے، کیونکہ صرف سرنگ سے پہنچنے والا کنسول کوئی بحالی راستہ نہیں; ssh [email protected] true سرنگ کے باہر سے چلانا یہ ثابت کرنے کا سب سے سستا طریقہ ہے کہ کنسول اس پر منحصر نہیں۔ ایک پلیٹ فارم کی گروپ پالیسی دستاویز اپنا فلٹر ڈکرپشن کے بعد اور انکرپشن سے پہلے کی ٹریفک پر رکھتی ہے، جو کسی بھی مصنوع میں تلاش کرنے والا وہی نامزد ہک ہے۔

ہر امیدوار کی ناکامی کی کہانی عمل درآمد کی کہانی کے ساتھ لکھیں۔ جائزے میں جیتنے اور بحالی میں ہارنے والی جگہ ایک تبادلہ ہے اور اسے واقعے کے دوران دریافت کرنے کے بجائے اسی طرح درج کرنا چاہیے۔

اجازت شدہ اور مسترد شدہ فلو کے ساتھ قبول کریں

منظور شدہ جانچ منصوبے کے ساتھ اصل VPN ماخذ سے تین چیزیں جانچیں: وہ ایپلیکیشن جو چلنی چاہیے، وہ وسیلہ جو نہیں چلنا چاہیے، اور وہ سمت جس سے جواب واپس آتا ہے۔ مسترد ہونا اس بات کا ثبوت ہے کہ پالیسی فعال ہے، جبکہ اجازت شدہ فلو صرف یہ ثابت کرتا ہے کہ کوئی راستہ موجود ہے۔

منتخب راستہ اور پالیسی کا نتیجہ ساتھ رکھیں، کیونکہ راستے کے بغیر نتیجہ دہرایا نہیں جا سکتا اور نتیجے کے بغیر راستے کا دفاع نہیں ہو سکتا۔ یہ جوڑی کسی بھی دعوے سے کہیں زیادہ جوڑ کے مقام کو منتخب کرنے کے لیے مفید ہے کہ کون سی سوئچنگ پرت بذات خود زیادہ محفوظ ہے۔