مشترکہ یا الگ VPN گیٹ وے: ناکامی کے ڈومین کے مطابق منتخب کریں

دو آلات ایک سے زیادہ مضبوط نظر آتے ہیں، جب تک آپ یہ نہ دیکھیں کہ وہ ایک ہی پاور سٹرپ، ایک ہی ہائپر وائزر اور ایک ہی اپ اسٹریم لنک بانٹتے ہیں۔ بکس گننا ایسے سوال کا جواب دیتا ہے جو کسی نے نہیں پوچھا؛ مفید سوال یہ ہے کہ ایک ہی وقت میں کیا ناکام ہوتا ہے۔ پہلے ناکامی کا معاہدہ لکھیں، پھر اسے ٹوپولوجی منتخب کرنے دیں۔ نیچے دیا گیا رن بک وہ ریکارڈ بناتا ہے۔

ایک ری بوٹ کے دوران کیا رکتا ہے

مشترکہ گیٹ وے کے لیے فہرست بنائیں کہ ری بوٹ، ناکام اپ ڈیٹ یا ہارڈ ویئر کی خرابی کے دوران کیا غائب ہوتا ہے۔ اگر انٹرنیٹ رسائی اور نجی کنیکٹیویٹی دونوں رک جائیں تو وہ مشترکہ رکاوٹ اب آپ کی دستیابی کی ضرورت کا حصہ ہے، چاہے کسی نے لکھا ہو یا نہ ہو۔ یہی مشق ایک ایسے آلے پر بھی لاگو ہوتی ہے جو کئی کردار ختم کرتا ہے: وہ خدمات کی فہرست جو یہ گراتا ہے وہی اصل تفصیل ہے۔

الگ گیٹ ویز کے لیے فہرست بنائیں کہ کیا مشترک رہتا ہے: بجلی، ورچوئلائزیشن ہوسٹ، اپ اسٹریم لنک، شناخت فراہم کرنے والا، انتظامی نیٹ ورک۔ ایک ناکام سوئچ کے پیچھے دو آلات دو ہوسٹ ناموں والا ایک ہی ناکامی ڈومین ہیں۔ جو علیحدگی ان انحصاروں کو نظر انداز کرتی ہے وہ خاکہ ہے، ڈیزائن نہیں۔

دیکھ بھال کی ملکیت بھی گنیں۔ دوسرا آلہ ترتیب، نگرانی، بیک اپ اور دوسرا بحالی طریقہ کار لاتا ہے، اور ان میں سے کچھ بھی مفت نہیں۔

نشان زد کریں کہ ہر اصول کہاں نافذ ہوتا ہے

کلائنٹ سے نجی وسیلے تک اور واپس ایک پیکٹ کا پیچھا کریں، اور ہر اس جگہ نشان لگائیں جہاں پالیسی لاگو ہوتی ہے۔ دوسرا روٹر ایک اور نقطہ شامل کرتا ہے جہاں راستے کی ترجیح، ترجمہ یا کنکشن کی حالت پہلے سے مختلف ہو سکتی ہے۔ دو گیٹ وے کے ڈیزائن میں زیادہ تر پراسرار ناکامیاں اسی جوڑ پر رہتی ہیں۔

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

لکھیں کہ VPN تحفظ کہاں ختم ہوتا ہے اور اندرونی پالیسی کہاں شروع ہوتی ہے۔ اگر دو آلات کے درمیان راستہ اجازت دینے والا ہے تو دوسرا بکس حد نہیں بنایا؛ اس نے صرف وہ جگہ ہٹائی جہاں حد ہو سکتی تھی۔ ایک پلیٹ فارم پر، الگ پالیسی زون اب بھی مؤثر ہو سکتے ہیں، اور ان کی تاثیر ہارڈ ویئر مشترک ہونے کی وجہ سے مسترد کرنے کے بجائے اصولوں سے جانچنی چاہیے۔

اگر آپ یہ نہیں بتا سکتے کہ کون سا آلہ اہم اصول نافذ کرتا ہے تو رک جائیں۔ وہی خلا دریافت ہے، بعد میں طے کرنے والی تفصیل نہیں۔

قید ایک حد ہے، چیسس نہیں

الگ آلہ صرف اسی وقت کسی سمجھوتے کو قید کرتا ہے جب اس سے گزرنے والا راستہ دوسری طرف کی ضرورت تک محدود ہو۔ اگر دونوں آلات ایک دوسرے سے کوئی بھی ٹریفک قبول کریں تو ایک پر اترنے والے حملہ آور کی رسائی پہلے جیسی رہتی ہے۔ قید کا دعویٰ اصولوں کے مجموعے کا ہے، فہرست کا نہیں۔ اصول پڑھیں، بتائیں کہ کون سے بہاؤ اجازت یافتہ ہیں، پھر فیصلہ کریں کہ علیحدگی نے کچھ خریدا یا نہیں۔

یہی منطق صارفین پر بھی لاگو ہوتی ہے۔ جو VPN صارف اس نیٹ ورک کی وجہ سے قابل اعتماد ہے جہاں سے آیا، وہ شناخت کے بجائے مقام پر بھروسا کر رہا ہے، اور NIST کی صفر اعتماد رہنمائی متبادل بیان کرتی ہے: ہر درخواست کو وسیلے کے مقابلے میں تصدیق اور مجاز کریں۔ یہ اصول کسی بھی چیسس کے سرنگ ختم کرنے پر لاگو رہتا ہے۔

اگر علیحدگی بہاؤ بدلنے کے بجائے تعمیل کی لکیر پوری کرنے کے لیے ہے تو ریکارڈ میں یہ لکھیں۔ جس کنٹرول کو کوئی سمجھا نہ سکے وہ دباؤ میں سب سے پہلے ہٹایا جاتا ہے۔

جو واقعی پہنچ سکتے ہیں اسے بحال کریں

پوچھیں کہ دونوں کرداروں میں سے کوئی مرنے پر کون سا بحالی راستہ بچتا ہے۔ جب خراب VPN گیٹ وے تک پہنچنے کا واحد راستہ اسی گیٹ وے سے گزرتا ہے تو کہیں اور کا فالتو آلہ اس منتظم کی مدد نہیں کرتا جسے اسے ٹھیک کرنا ہے۔ بینڈ سے باہر راستہ، کنسول اور دستاویزی واپسی وہ حصے ہیں جو ڈیزائن کو بحال پذیر بناتے ہیں۔

systemctl status strongswan
nft list ruleset
ip -brief address

ڈیزائن کو مکمل معاون کام کے بوجھ کے لیے ناپیں، الگ انکرپشن عدد کے لیے نہیں، کیونکہ فلٹرنگ اور معائنہ وہی ہارڈ ویئر استعمال کرتے ہیں۔ علیحدگی کے تیز یا سست ہونے کا اندازہ لگانے کے بجائے فروش کی دستاویزات اور اپنی پیمائش استعمال کریں۔ پھر فیصلے کا ریکارڈ لکھیں: کون سے بہاؤ اجازت یافتہ ہیں، کون سے انحصار مشترک ہیں، دیکھ بھال کی ونڈو کیا گراتی ہے، آپ کے پاس کیا صلاحیت کے ثبوت ہیں اور ہر بحالی قدم کا مالک کون ہے۔ وہ ریکارڈ جائزے کے لیے کافی مختصر اور دوبارہ آنے کے لیے کافی مخصوص ہے۔

رن بک اس وقت ختم ہوتی ہے جب ناکامی کا معاہدہ لکھا جائے، فارورڈنگ راستے میں ہر اصول کے لیے ایک نامزد نفاذ نقطہ ہو، قید آلہ تعداد کے بجائے بہاؤ سے بیان ہو، اور بحالی ناکام جزو کے باہر سے کام کرے۔ وہ آسان ترتیب منتخب کریں جو ان ضروریات کو پورا کرتی ہے۔