WireGuard کو محفوظ کرنے کے لیے IPv6 بلاک کرنا ہوسٹ کو توڑ دیتا ہے

مقصد معقول ہے: اس مشین کی خدمات تک صرف ٹنل استعمال کرنے والے پہنچنے چاہئیں۔ جو حل لوگ اپناتے ہیں وہ IPv6 کا اِن پٹ چین ہے جو WireGuard کے سوا سب کچھ گرا دیتا ہے، اور اس سے وہ ٹریفک بھی گر جاتی ہے جو ہوسٹ کو اس کے اپنے لنک سے جڑا رکھتی ہے۔ ہمسایہ کی شناخت اور راستے کی دیکھ بھال کے پیغامات خدمت تک رسائی نہیں ہیں، اور انہیں ہٹانے سے ایسی مشین بنتی ہے جو آپ کی پالیسی سے بے تعلق وجوہات کی بنا پر ناقابلِ رسائی ہوتی ہے۔ ٹنل اوپر آتا ہے، خدمات درست طور پر محدود ہیں، اور لنک پر کچھ اور کام نہیں کرتا۔

تین ذمہ داریاں، ایک اصول مجموعہ

پہلی ذمہ داری بیرونی نیٹ ورک کا آپریشن ہے: ہوسٹ کو اپنے لنک پر رہنا چاہیے، ہمسایوں کو حل کرنا چاہیے اور اس لنک کی راستے کی حدود جاننی چاہئیں۔ دوسری خفیہ کردہ سننے والی ہے جو آپ کے منتخب کردہ پتے اور پورٹ پر UDP قبول کرتی ہے۔ تیسری اُن ڈکرپٹ شدہ خدمات کا مجموعہ ہے جہاں آپ ٹنل استعمال کرنے والوں کو پہنچانا چاہتے ہیں۔

یہ تین مختلف پالیسیاں ہیں، اور صرف دوسری اور تیسری VPN سے متعلق ہیں۔ جو اصول مجموعہ انہیں ایک سمجھتا ہے وہ ایسی ناکامی کا طریقہ وارث ہوتا ہے جس میں ایپلیکیشن کی حد سخت کرنے سے ہوسٹ کا اتصال خاموشی سے ٹوٹ جاتا ہے۔

انہیں الگ چینز میں یا کم از کم الگ تبصروں میں رکھیں، تاکہ اگلا شخص دیکھ سکے کہ کون سی سطر کس لیے ہے۔

ICMPv6 ہوسٹ کے لیے کیا کرتا ہے

IPv6 بازگشت سے کہیں زیادہ چیزوں کے لیے ICMPv6 پر منحصر ہے۔ ہمسایہ کی درخواست اور اعلان ARP کی جگہ لیتے ہیں اور مقامی ترسیل کے لیے ضروری ہیں۔ Packet Too Big راستے کی MTU معلومات اٹھاتا ہے، اور اسے نظرانداز کرنے سے بڑے پیکٹوں پر رکنے والی منتقلیاں بنتی ہیں۔ جب لنک خودکار تشکیل استعمال کرتا ہے تو راؤٹر کے اعلانات طے شدہ راستہ اور سابقے کی معلومات اٹھاتے ہیں۔

RFC 4890 اُن پیغامات کو الگ کرتا ہے جن کی ہوسٹ فلٹر کو لازماً اجازت دینی چاہیے، اُن سے جو انتظامی انتخاب ہیں، اور یہ ہوسٹ کے حصے میں کرتا ہے جو نیٹ ورکس کے درمیان آگے بھیجنے والے راؤٹر کے اصولوں سے مختلف ہے۔ صرف فارورڈنگ حصہ پڑھنے سے ایسی اِن پٹ پالیسی بنتی ہے جو محفوظ کیے جانے والے ہوسٹ کے لیے بہت سخت ہے۔

عملی اصول یہ ہے کہ جس انٹرفیس کو ضرورت ہو وہاں لازمی نقص اور تشکیل کے پیغامات کی اجازت دیں، جہاں پلیٹ فارم اجازت دے وہاں قسم اور ماخذ کے مطابق محدود کریں، اور باقی کے بارے میں واضح فیصلہ کریں۔

یہ سب کچھ عمومی ICMPv6 اجازت سے بدلنا دستیابی کا مسئلہ حل کرتا ہے اور فلٹرنگ چھوڑ دیتا ہے۔ اسے عمومی گرانے سے بدلنا فلٹرنگ کا مسئلہ حل کرتا ہے اور ہوسٹ چھوڑ دیتا ہے۔

پہلے ٹنل کو اجازت دیں، پھر خدمت کو

مطلوبہ بیرونی پتے اور UDP پورٹ پر WireGuard کی ترسیل قبول کریں، اور واپس آنے والی ٹریفک کنکشن ٹریکنگ کے ذریعے قبول کریں۔ پھر ٹنل انٹرفیس کے ذریعے ایپلیکیشن خدمات کو اُن ماخذوں سے اجازت دیں جنہیں آپ واقعی اختیار دیتے ہیں۔

بیرونی UDP پورٹ کی اجازت اس کے اندر کی ڈکرپٹ شدہ درخواستوں کو اختیار نہیں دیتی۔ یہی فرق خدمت کے اصولوں میں ٹنل انٹرفیس کے ظاہر ہونے کی پوری وجہ ہے۔

فائل جیسا بیان کرتی ہے ویسا نہیں، اصول مجموعہ جیسا ہے ویسا پڑھیں:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

طبعی پتے پر سننے والا ٹنل پتے پر اسی خدمت سے الگ انکشاف ہے۔ اگر مشین دوسری مشین کی طرف بھی ٹریفک آگے بھیجتی ہے تو یہ یہ اِن پٹ پالیسی نہیں بلکہ فارورڈ چین کا فیصلہ ہے، اور اسے اپنا استدلال چاہیے۔

لنک کی جانچ کریں، صرف ٹنل کی نہیں

تبدیلی کے بعد چلنے والا ٹنل دکھنے سے کم ثابت کرتا ہے، کیونکہ موجودہ ہمسایہ اندراج اور قائم شدہ کنکشن ایسا کنٹرول پیغام چھپا سکتے ہیں جسے پالیسی اب گرا رہی ہے۔

اتصال کو براہِ راست جانچیں، پھر جانچیں کہ خارج شدہ راستہ اب بھی ناکام ہوتا ہے:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

دوبارہ چلانے کے بعد بھی ہمسایہ جدول مکمل رہنا اس بات کا اشارہ ہے کہ شناخت اب بھی کام کرتی ہے۔ جو جدول خالی ہو جائے اور پھر کبھی نہ بھرے وہ اشارہ ہے کہ آپ نے اسے فلٹر کر دیا۔ تیسرا حکم اصول مجموعہ کو لاگو کیے بغیر اس کا نحو جانچتا ہے، جو سیشن موجود ہونے تک کرنا مناسب ہے۔

جس ہوسٹ سے آپ نے خود کو باہر مقفل کیا اسے بحال کریں

اپنا انتظامی سیشن اٹھانے والے فائر وال اصول بدلنے سے پہلے دوسرا ذریعہ رکھیں: کنسول، سیریل کنکشن، یا مقررہ رول بیک جو منسوخ نہ کرنے پر نئے اصول ہٹا دیتا ہے۔

اگر تبدیلی واقعی باہر مقفل کر دے تو بحالی اسی ذریعے سے ہوتی ہے، ابھی ہٹائے گئے نیٹ ورک سے نہیں۔ محفوظ نقل سے پچھلا اصول مجموعہ بحال کریں، تصدیق کریں کہ ہوسٹ دوبارہ قابلِ رسائی ہے، اور تب ہی مطلوبہ پالیسی کو چھوٹے ٹکڑوں میں لاگو کریں۔

حتمی پالیسی عالمگیر نہیں۔ پتہ، روٹنگ اور فائر وال کا نفاذ تعیناتی کے اِن پٹ ہیں، لیکن حد ہر جگہ ایک ہی ہے: مجاز ٹنل اٹھانے والی کنٹرول ٹریفک رکھتے ہوئے غیر ارادی ایپلیکیشن رسائی سے انکار کریں۔