کلاؤڈ VPN کو BGP درکار ہے: دوسرے روٹنگ پروٹوکول کیوں ناکام ہوتے ہیں

IPsec سیکیورٹی ایسوسی ایشن چل رہی ہے، ٹنل کے کاؤنٹر حرکت کر رہے ہیں، اور کلاؤڈ پریفکس کی طرف ٹریفک غائب ہو جاتی ہے۔ پھر آپریٹر گاہک کے روٹر پر OSPF فعال کرنے کی کوشش کرتا ہے، امید کرتا ہے کہ ہمسایہ بنے گا، اور کچھ نہیں ہوتا۔ ٹنل کبھی بھی گمشدہ حصہ نہیں تھا: منظم کلاؤڈ VPN ایک متعین روٹنگ معاہدہ فراہم کرتا ہے، اور بڑے پلیٹ فارمز پر وہ معاہدہ BGP ہے۔ جب تک سیشن نہ بنے اور پریفکس قبول نہ ہو، ٹنل صرف ایک خفیہ کردہ راستہ ہے جس کے پیچھے کوئی منزل نہیں۔

ٹنل چل رہا ہے اور راستہ غائب ہے

مرحلہ 1 اور مرحلہ 2 مکمل ہونا ثابت کرتا ہے کہ دونوں فریق تحفظ پر متفق ہیں، یہ نہیں کہ کوئی فریق جانتا ہے کہ ٹریفک کہاں بھیجنی ہے۔ یہ الگ ناکامی طریقوں والی الگ حالت مشینیں ہیں۔

ترتیب سے تین سوال پوچھیں: پریفکس کا اعلان ہوا تھا، ہمسایہ نے قبول کیا تھا، اور کیا اسے فارورڈنگ کے لیے نصب کیا گیا تھا؟ جو پریفکس اعلان ہو کر فلٹر ہو گیا وہ پالیسی مسئلہ ہے۔ جو پریفکس کبھی اعلان نہیں ہوا وہ سیشن یا ترتیب کا مسئلہ ہے۔ جو پریفکس قبول ہوا مگر نصب نہیں ہوا وہ راستہ چننے کا مسئلہ ہے، اور ہر جواب ترتیب کے مختلف حصے کی طرف اشارہ کرتا ہے۔

فراہم کرنے والا واقعی آپ کو کیا دیتا ہے

منظم VPN گیٹ وے غیر محدود روٹر نہیں ہے۔ فراہم کرنے والا آپ کو ایسا گیٹ وے دیتا ہے جس میں معاون ہمسایہ پتے، خودمختار نظام کی ترتیب، پریفکس کی حدیں اور متعین ناکامی سلوک ہوتا ہے۔ وہی سطح مصنوعات ہے۔

Google Cloud نے HA VPN کے لیے متحرک BGP روٹنگ کی دستاویز کی ہے، جس میں Cloud Router ہمسایہ راستے سیکھتا ہے اور VPC کو اہل حسب ضرورت متحرک راستے فراہم کرتا ہے۔ AWS Site-to-Site VPN مستقل اور متحرک روٹنگ کے درمیان انتخاب کی دستاویز کرتا ہے، اور BGP کی زندگی کے امتحانات کو ٹنل کی منتقلی کے لیے مفید بتاتا ہے، ساتھ ہی BGP کے بغیر آلات کے لیے صحت کے امتحانات کی بھی حمایت کرتا ہے۔ کسی پلیٹ فارم کے سلوک کا اندازہ دوسرے کی مصنوعات کے نام سے نہیں لگانا چاہیے۔

عملی نتیجہ یہ ہے کہ آپ پہلے منظم موڈ منتخب کرتے ہیں، پھر معاون پیرامیٹر پڑھتے ہیں۔ جو ڈیزائن ایسی ہم آہنگی فرض کرے جو سروس فراہم نہیں کرتی، وہ گاہک کے روٹر پر حل کرنے والا ترتیب کا مسئلہ نہیں ہے۔

ٹنل کا تحفظ اور رسائی الگ کام ہیں

IPsec ٹنل کے لیے منتخب ٹریفک کی حفاظت کرتا ہے۔ BGP وہ رسائی معلومات فراہم کرتا ہے جو پریفکس کو اہل بناتی ہے۔ چلتی ٹنل ثابت نہیں کرتی کہ متوقع پریفکس کا اعلان، قبولیت یا تنصیب ہوئی۔

ایک شاخ کا تصور کریں جو دو اہل ٹنل راستوں سے 10.42.0.0/16 کا اعلان کرتی ہے۔ ایک قابل استعمال راستہ ہٹا دیں اور ہر ورک لوڈ کا راستہ کسی کے تبدیل کیے بغیر راستہ کا انتخاب بدل سکتا ہے۔ شناخت، راستہ کا انتخاب اور ایپلیکیشن کی بحالی فوری نہیں، اور تعیناتیوں میں یکساں نہیں، اس لیے منتقلی کا امتحان پورا سلسلہ دیکھے، پہلا پیکٹ نہیں جو گزر جائے۔

جب کلاؤڈ پریفکس ناقابل رسائی ہو، خفیہ کاری کو چھونے سے پہلے سیشن کی حالت اور سیکھے گئے راستے دیکھیں۔ پیچھے راستے کے بغیر چلتی SA اس علامت کی سب سے عام شکل ہے۔

OSPF کے مفروضے کہاں ٹوٹتے ہیں

IPsec ٹنل کے اندر OSPF، IS-IS یا کوئی اور پروٹوکول خود منتظم آلے پر بالکل ممکن ہے، جہاں دونوں سرے اور فارورڈنگ ڈیزائن آپ کے ہیں۔ یہ حقیقت ایسی منظم سروس کے بارے میں کچھ نہیں کہتی جو متحرک روٹنگ موڈ کے طور پر صرف BGP پیش کرتی ہے۔

اگر تجویز کردہ ڈیزائن کو ایسی ہم آہنگی درکار ہو جو سروس معاونت نہیں کرتی، تو فن تعمیر دانستہ بدلیں۔ اختیارات میں VPC میں خود منتظم آلہ، جہاں سروس معاونت کرتی ہے وہاں مستقل روٹنگ، یا مختلف کنیکٹیویٹی مصنوعات شامل ہیں۔ صرف گاہک کے روٹر پر پروٹوکول ترتیب دینے سے کلاؤڈ کی طرف موجود نہ ہونے والا ہمسایہ شامل نہیں کیا جا سکتا، اور نہ پریفکس ظاہر ہوگا۔

ایک فروش کا جواب دوسرے کے گیٹ وے پر نہ لے جائیں۔ یکساں الفاظ، جیسے متحرک روٹنگ یا ٹنل کی منتقلی، مختلف طریقہ کار اور مختلف حدیں بیان کر سکتے ہیں۔

سروس کی ضرورت پڑھیں، پھر ڈیزائن کریں

پہلی ترتیب کی سطر سے پہلے ہمسایہ پتے، خودمختار نظام کے نمبر، وہ پریفکس جن کا آپ اعلان اور قبول کریں گے، راستوں کی حدیں اور ٹنل ناکام ہونے پر متوقع سلوک لکھیں۔ وہ پانچ نکات وہی معاہدہ ہیں جس کے مطابق آپ ڈیزائن کرتے ہیں۔

پھر اسی ترتیب سے تصدیق کریں: سیشن قائم، پریفکس موصول، VPC راستہ جدول میں راستہ موجود، اور سروس کے پتے تک حقیقی بہاؤ۔ جبری منتقلی کے بعد دہرائیں، کیونکہ دوبارہ قائم ہونے والا سیشن مختلف راستہ مجموعے کے ساتھ واپس آ سکتا ہے۔ اگر ڈیزائن ایک سیکنڈ سے کم ہم آہنگی پر منحصر ہو، تو فرض کرنے کے بجائے اسے ناپیں۔

تبدیلی کے ریکارڈ کے ساتھ سروس کا معاہدہ رکھیں۔ جب بعد میں کوئی پوچھے کہ ٹنل OSPF کیوں نہیں چلا سکتی، تو جواب پروٹوکول کی حد نہیں، مصنوعات کی حد ہے، اور ریکارڈ میں یہ لکھا ہونا چاہیے۔