کیا DHCP روٹس آپ کی ٹریفک کو VPN ٹنل کے گرد بھیج سکتے ہیں؟

انکرپشن ایک سرحد پر شروع ہوتی ہے، اور وہ سرحد ایک روٹنگ فیصلہ ہے جو اینڈ پوائنٹ کسی بھی پیکٹ کے انکیپسولیٹ ہونے سے پہلے کرتا ہے۔ ایسا نیٹ ورک جو آپ کی چابیاں کبھی نہیں دیکھتا، پھر بھی آپ کی مشین کو ایسا راستہ دے سکتا ہے جو اسے ٹنل کے اپنے راستے سے زیادہ پسند ہو۔ یہاں دو ناکامیاں خلط ملط ہوتی ہیں: پہلے سے ٹنل کے اندر موجود پیکٹ کو پڑھنا، اور ایسے پیکٹ کو موڑنا جو وہاں کبھی رکھا ہی نہیں گیا۔

یہ فرق اہم ہے کیونکہ دوسری ناکامی سجانے میں سستی ہے اور نظر انداز کرنا بہت آسان۔ یہ ایسی درخواست کی صورت میں ظاہر ہوتی ہے جو غلط انٹرفیس سے باہر گئی، جبکہ کلائنٹ اب بھی صحت مند کنکشن کی رپورٹ دے رہا تھا۔

نیٹ ورک آپ پر اثر انداز ہونے کے دو طریقے

ٹنل تک پہنچنے والے پیکٹ کا پے لوڈ ہر اس ہاپ سے چھپا ہوتا ہے جس سے وہ گزرتا ہے، اور یہ تحفظ تب بھی قائم رہتا ہے جب راستہ آپ کو حیران کر دے۔ جو پیکٹ ٹنل تک کبھی نہیں پہنچتا وہ آپ کے پتے سے ایک عام درخواست ہے، وہاں بھیجی جاتی ہے جہاں روٹ ٹیبل نے اشارہ کیا تھا۔ پہلی ناکامی کے لیے ٹوٹا ہوا سائفر یا نقصان زدہ ساتھی درکار ہے، جبکہ دوسری کے لیے صرف ایک کنفیگریشن پیغام کافی ہے جس پر آپ کی مشین نے اعتماد کرنا چنا۔ یہی عدم توازن وجہ ہے کہ روٹنگ کے آدھے حصے کا الگ جائزہ ہونا چاہیے۔

راستے کے آلات کو دوسرے معاملے پر اثر ڈالنے کے لیے آپ کی چابیوں کی ضرورت نہیں۔ انہیں صرف یہ چاہیے کہ آپ کا اینڈ پوائنٹ کوئی روٹ، ریزالور یا ایسا پیدا کرنے والا پالیسی قاعدہ قبول کر لے۔

expected:  app -> tunnel device -> encapsulation -> internet
observed:  app -> wlan0        -> plaintext     -> internet

ٹنل وجود میں آنے سے پہلے روٹ کہاں سے آ سکتا ہے

DHCP پتے کے کرائے سے زیادہ کچھ تقسیم کرتا ہے۔ بے طبقہ جامد روٹ کا اختیار منزل کے سابقوں اور اگلی ہاپس کو لے جا سکتا ہے، اور RFC 3442 غلط راؤٹر پتے کے حفاظتی نتائج پر بحث کرتا ہے: غلط سمت میں گئی ٹریفک، سروس سے انکار، یا راستے پر بیٹھا نگران۔ ایسی روٹس ٹنل کے اٹھنے سے پہلے قبول کرنے والا کلائنٹ ایسے ترجیحی راستے پر پہنچ سکتا ہے جس کا آپ کے فراہم کنندہ سے کوئی تعلق نہ ہو۔

ان میں سے کوئی چیز روٹ انجیکشن کو عالمگیر نہیں بناتی۔ کلائنٹ کو اختیار قبول کرنا ہوگا، سابقے کو آپ کی اہم ٹریفک ڈھکنا ہوگا، منتخب اگلی ہاپ قابل رسائی ہونی چاہیے، اور نفاذ کی پالیسی کو پیکٹ کو اس راستے سے باہر جانے کی اجازت دینی ہوگی۔ ان میں سے کوئی ایک ہٹا دیں تو وہی ردعمل بے ضرر ہے۔ یہی وجہ ہے کہ ایک ہی نیٹ ورک کی دو مشینیں مختلف برتاؤ کر سکتی ہیں، کیونکہ وہ ایک ہی کلائنٹ، ایک ہی پالیسی یا ایک ہی پتہ خاندان نہیں چلا رہیں۔

IPv6 اپنے الگ جائزے کا حقدار ہے، کیونکہ راؤٹر اعلانات DHCPv4 اختیار سے مختلف کوڈ کے ذریعے طے شدہ راستہ لے کر آتے ہیں۔ صرف v4 ٹیبل جانچنے والا ٹیسٹ اسے ڈھکتا نہیں۔

وہ راستہ جانچیں جو کرنل واقعی منتخب کرتا ہے

روٹ کے سوالات کا جواب دیا جا سکتا ہے، اس لیے اسٹیٹس لائٹ سے اندازہ لگانے کے بجائے انہی سے پوچھیں۔ نیچے دیے گئے کمانڈ ایک منزل کے لیے منتخب راستہ اور ماخذ دکھاتے ہیں، نیز وہ قواعد جو مرکزی ٹیبل کو زیر کر سکتے ہیں۔ انہیں جڑے رہنے کے دوران اور دوبارہ جڑنے کے بعد چلائیں، کیونکہ کرائے کی تجدید جواب بدل سکتی ہے۔

ip route get 203.0.113.10
ip route show table all | grep -E '^(default|203\.0\.113)'
ip rule show
resolvectl query example.com

آؤٹ پٹ دو باتوں کے لیے پڑھیں: راستے میں بتایا گیا انٹرفیس اور منتخب ماخذ پتہ۔ ٹنل کا راستہ ٹنل ڈیوائس کا نام لیتا ہے، رسا ہوا راستہ طبعی ڈیوائس کا نام لیتا ہے، اور فرق کچھ بھی ڈکرپٹ کیے بغیر نظر آتا ہے۔ اگر جواب چلانے کے درمیان بدل جائے تو دونوں آؤٹ پٹ رکھیں اور انہیں پیدا کرنے والے قواعد کا موازنہ کریں۔

طے شدہ راستے پر نہ رکیں۔ ایپ کی استثنا، منقسم ٹنل کا سابقہ یا دوسرا پالیسی قاعدہ کسی مخصوص منزل کو ٹنل کے گرد لے جا سکتا ہے جبکہ طے شدہ اب بھی اندر کی طرف اشارہ کر رہا ہو۔

فیصلہ کریں کہ نفاذ کہاں ہونا چاہیے

تین شرطیں طے کرتی ہیں کہ کلائنٹ کی طرف نفاذ کافی ہے یا آپ کو اس سے باہر کچھ درکار ہے۔ اگر کلائنٹ آپ کے استعمال کردہ ہر پتہ خاندان کے لیے روٹس نصب اور محفوظ کرتا ہے تو طے شدہ راستے کا مالک ٹنل عموماً کافی ہوتا ہے۔ اگر مشین کو مقامی وسائل تک پہنچنا ہو جبکہ باقی سب کچھ ٹنل میں رہے تو ان استثناؤں کو رسائی نیٹ ورک کے اعلان پر چھوڑنے کے بجائے گنوا کر ذمہ داری لینی ہوگی۔ اور اگر پلیٹ فارم ہر ایپ کے لحاظ سے ٹریفک کو انٹرفیس سے باندھ سکتا ہے تو یہ بندھن کسی بھی چیز کے زیر کیے جا سکنے والے راستے سے زیادہ مضبوط ضمانت ہے۔

آپ جو بھی چنیں، فیصلہ وہاں لکھیں جہاں کنفیگریشن رہتی ہے۔ کوئی قاعدہ جو اس لیے موجود ہے کہ کسی نے واقعے کے دوران ٹائپ کیا، اگلی ری بوٹ تک نہیں رہے گا، اس لیے مقامی اور بوٹ اسٹریپ استثنائیں تنگ رکھیں اور لکھیں کہ ہر ایک کیوں موجود ہے۔

ہر کلائنٹ اپ گریڈ اور ہر نیٹ ورک تبدیلی کے بعد جانچ کے کمانڈ دوبارہ چلائیں، اور آخری محفوظ آؤٹ پٹ سے موازنہ کریں۔ روٹ ٹیبل نفاذ کی سرحد ہے، اس لیے اسے اسی طرح برتیں۔