وسیع IPsec منتخب کرنے والا ہر سروس کی اجازت نہیں

دو ساتھی پوری ذیلی نیٹ ورک کو محفوظ کرنے پر متفق ہوتے ہیں، اور کوئی اس معاہدے کو اس کے اندر ہر سروس تک پہنچنے کی اجازت سمجھتا ہے۔ یہی غلط فہمی ہے: منتخب کرنے والا بتاتا ہے کہ سرنگ کون سی ٹریفک لے جانے کو تیار ہے، اور اس بارے میں کچھ نہیں کہتا کہ تنظیم کون سی سروسز کی اجازت دیتی ہے۔ آلات کی ایک جوڑی قانونی طور پر وسیع پتہ رینج پر بات چیت کر سکتی ہے جبکہ اس کے اندر رسائی کی پالیسی دو پورٹس کی اجازت دیتی ہے، اور دونوں باتیں بیک وقت درست رہتی ہیں۔

محفوظ احاطہ اختیار نہیں ہے

ٹریفک منتخب کرنے والا سرنگ کے معاہدے کا حصہ ہے۔ یہ محدود یا تصدیق کرتا ہے کہ ساتھی آپس میں کیا خفیہ کریں گے، اور وسیع منتخب کرنے والا اکثر چلانا سب سے آسان ہوتا ہے جب دونوں اطراف کے پاس بہت سے بہاؤ لے جانے ہوں۔ سروس فلٹر راستے کے کسی اور مقام پر ایک اور کنٹرول ہے، اور یہ طے کرتا ہے کہ پیکٹ کی خفیہ کاری کھلنے کے بعد واقعی کیا استعمال کیا جا سکتا ہے۔ ایک ٹیسٹ پاس کرانے کے لیے فلٹر ہٹانا پالیسی کے فیصلے کو حادثے میں بدل دیتا ہے۔

ڈیزائن دستاویز میں دونوں ریکارڈ الگ رکھیں، کیونکہ صرف منتخب کرنے والا دیکھنے والا قاری ایسا اختیار فرض کرے گا جو کبھی دیا ہی نہیں گیا۔ تبدیلی کے ریکارڈ میں دو سطریں اسے روکتی ہیں، اور وہ اس بحث سے کم وقت لیتی ہیں جو بعد میں آتی ہے۔

ایک بہاؤ کو دونوں سروں سے بیان کریں

شروع کرنے والا، جواب دینے والا، ماخذ اور منزل جیسے پیش کیے گئے ہیں، پروٹوکول اور دونوں پورٹس لکھیں۔ پھر دوسرے سرے کے لیے ان میں سے ہر لیبل کو الٹ دیں، کیونکہ کلائنٹ کا عارضی ماخذ پورٹ جواب کی منزل پورٹ بن جاتا ہے اور دور کا نیٹ ورک مقامی بن جاتا ہے۔ اسی الٹاؤ کے بغیر ایک طرف سے دوسری طرف نقل کی گئی ترتیب ہی وہ وجہ ہے کہ فلٹر آخرکار بالکل غلط سمت کی اجازت دیتے ہیں۔ جدول ایک بار لکھیں اور اسی سے دونوں فلٹر بنائیں۔

کچھ بھی نقل کرنے سے پہلے انتخاب کے ماڈل پر متفق ہوں، کیونکہ پالیسی پر مبنی ڈیزائن اور راستے پر مبنی ڈیزائن ایک ہی ارادے کو مختلف اشیاء کے ذریعے ظاہر کرتے ہیں۔ بہاؤ کے ساتھ ماڈل کا نام لکھیں، ورنہ اگلا انجینئر ایسی اشیاء ملانے میں دوپہر گزارے گا جو کبھی قابلِ موازنہ نہیں تھیں۔

وہ فلٹر تلاش کریں جو واقعی لاگو ہوتا ہے

ASA پر، VPN فلٹر ایک ACL ہے جو گروپ پالیسی سے منسلک ہوتا ہے اور خفیہ کاری کھلنے کے بعد اور خفیہ کاری سے پہلے کی ٹریفک پر لاگو ہوتا ہے۔ Cisco کی گروپ پالیسی دستاویز وراثت بھی بیان کرتی ہے، بشمول صارف کی سطح کی قدر جو گروپ پالیسی کی قدر کی جگہ لیتی ہے۔ اس لیے جو ACL آپ نے ترمیم کیا وہ شاید وہ ACL نہ ہو جو آپ کے سامنے والا سیشن چلاتا ہے۔ یہی بات صارف کی شے پر بھی لاگو ہے، جو زیادہ نظر آنے والے ثبوت چھوڑے بغیر گروپ کو زیر کر سکتی ہے۔

جو شے آپ کو تبدیل کی ہوئی یاد ہے اس کے بجائے مؤثر سیشن کا معائنہ کریں، اور نوٹ کریں کہ کون سی پالیسی شے اسے فراہم کرتی ہے۔ یہی ایک قدم حیران کن طور پر بہت سی ایسی رپورٹیں حل کرتا ہے کہ „فلٹر درست ہے مگر کام نہیں کرتا“۔

سمت، پورٹس اور الٹا معاملہ

درج شدہ روایت دور کے نیٹ ورک، یا مختص شدہ دور کے کلائنٹ پتوں کو ماخذ کی جگہ اور مقامی نیٹ ورک کو منزل کی جگہ رکھتی ہے، جوابات پتوں کی جگہیں بدل کر ظاہر کیے جاتے ہیں۔ پورٹ کے قواعد اسی روایت پر قائم ہیں اور پتوں سے زیادہ توجہ کے مستحق ہیں۔

درج شدہ ماڈل منزل کے پورٹ کے قاعدے کو ایسی الٹی شروعات پر اثر انداز ہونے دے سکتا ہے جو وہی ماخذ پورٹ استعمال کرتی ہے، یعنی فلٹر محض بے ضرر جوابات والا یک طرفہ درخواست کا قاعدہ نہیں۔ دونوں شروعاتی سمتوں پر واضح طور پر غور کریں، اور وہ معاملہ بھی شامل کریں جسے آپ مسترد کرنا چاہتے ہیں۔

وہی دستاویز فلٹر کو صرف ابتدائی کنکشنز تک محدود کرتی ہے، اس لیے یہ کسی جانچے گئے اطلاق کے کھولنے والے ہر ثانوی چینل پر عالمگیر نفاذ نہیں ہے۔ جہاں مکمل پالیسی کو وہ احاطہ درکار ہو، وہ اپنے مقصد سے آگے کھینچے گئے ACL میں نہیں، بلکہ الگ حد پر ہونا چاہیے۔

مکمل کہنے سے پہلے تین معاملات جانچیں

مطلوبہ بہاؤ قبول کریں، ایسی سروس سے انکار کریں جسے پالیسی منع کرتی ہے، اور وہ الٹی سمت کا معاملہ جس پر آپ نے غور کیا آزمائیں۔ انہیں منظور شدہ منصوبے کے تحت انہی شناختوں اور منتخب کنندگان کے ساتھ چلائیں جو آپ تعینات کریں گے۔ ایسا ٹیسٹ جو صرف یہ دکھائے کہ اجازت یافتہ سروس کام کرتی ہے، سرنگ دکھاتا ہے، پالیسی نہیں۔

طے شدہ احاطے اور رسائی کے فیصلے کو دو ریکارڈ کے طور پر رکھیں، کیونکہ یہ بتانے کے لیے کہ VPN کس چیز کی اجازت دیتا ہے دونوں درکار ہیں۔